GeoNode < 4.4.5, 5.0.2 SSRF via Document Upload

CVE-2026-39921 は、GeoNode の 4.4.5 より前のバージョンと 5.0 より前のバージョン 5.0.2 に影響します。このサーバーサイドリクエストフォージェリ (SSRF) の脆弱性は、ドキュメントアップロード権限を持つ認証済みユーザーが、ドキュメントアップロード中に 'doc_url' パラメータ経由で提供された URL を操作して、任意の外部 HTTP リクエストをトリガーすることを可能にします。攻撃者は、内部ネットワークターゲット、ループバックアドレス、RFC1918 アドレス、またはクラウドメタデータサービスを指す URL を提供できます。これにより、通常は外部からアクセスできない内部リソースへの不正アクセスが可能になり、内部システムの機密性、完全性、および可用性が損なわれる可能性があります。SSRF の軽減策がないことはリスクを悪化させ、脆弱性の悪用における柔軟性を高めます。

Organizations deploying GeoNode for geospatial data management, particularly those with internal network resources accessible from the GeoNode server, are at risk. Environments with shared hosting or where user permissions are not strictly controlled are especially vulnerable, as a compromised user account could be leveraged to exploit this SSRF vulnerability.

• python / server:

# Check GeoNode version
python -c 'import sys; print(sys.version_info)'
# Monitor document upload endpoints for unusual outbound requests in access logs
grep -i 'doc_url=' /var/log/geonode/access.log

• generic web:

# Check for exposed document upload endpoints
curl -I http://<geonode_server>/geonode/upload

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-04-07
2. 公開日2026-04-10
3. 更新日2026-05-08
4. EPSS 更新日2026-04-18

推奨される解決策は、GeoNode をバージョン 4.4.5 以降、またはバージョン 5.0.2 以降にアップグレードすることです。これらのバージョンには、SSRF 脆弱性を軽減するための修正が含まれています。さらに、アクセス制御ポリシーを見直し、強化して、ドキュメントアップロード権限を承認されたユーザーのみに制限します。ユーザーが提供する URL の厳格な検証とサニタイズを実装することは、将来の SSRF 脆弱性を防止するために不可欠です。サーバーログを監視して、外部 HTTP リクエストに関連する疑わしいアクティビティを検出し、潜在的な攻撃に対応することができます。