GeoNode存在一个服务器端请求伪造(SSRF)漏洞，允许经过身份验证的攻击者通过提交精心制作的服务URL来触发向任意URL的外部网络请求。该漏洞影响GeoNode 4.0.0到5.0.2版本，攻击者可以利用此漏洞探测内部网络目标。该漏洞已在5.0.2版本中修复。
CVE-2026-39922 影响 GeoNode 的 4.4.5 之前的版本，以及各自发布周期中的 5.0.2 之前的版本。此漏洞是服务器端请求伪造 (SSRF)，位于服务注册端点。经过身份验证的攻击者可以利用此漏洞触发对任意 URL 的外部网络请求。这允许探测内部网络目标，包括回环地址、RFC1918 私有 IP 地址范围、链路本地地址和云元数据服务。URL 验证不足是此漏洞的主要原因，允许攻击者绕过安全限制并访问受保护的内部资源。
具有 GeoNode 身份验证访问权限的攻击者可以利用此漏洞。该过程包括创建恶意请求到服务注册端点，并提供指向所需内部或外部资源的 URL。GeoNode 在处理此请求时，将代表攻击者向指定的目的地发出网络请求。这使攻击者能够访问敏感信息、在内部系统上执行命令或执行其他恶意操作。此漏洞的严重程度取决于攻击者通过强制请求可以获得的访问权限。
漏洞利用状态
EPSS
0.04% (11% 百分位)
CISA SSVC
针对 CVE-2026-39922 的主要缓解措施是将 GeoNode 升级到 5.0.3 或更高版本。此版本包含修复程序，可以正确验证服务注册期间提供的 URL，从而防止 SSRF。作为临时措施，应将服务注册端点的访问限制为受信任的用户和系统。此外，实施限制 GeoNode 对必要目标的外部连接的防火墙和网络规则可以减少成功利用的潜在影响。监控 GeoNode 日志以查找可疑活动对于检测和响应潜在攻击至关重要。
Actualice GeoNode a la versión 5.0.3 o superior para mitigar la vulnerabilidad SSRF. La actualización corrige la validación de URL en el punto final de registro de servicios, previniendo que atacantes autenticados realicen solicitudes de red arbitrarias.
漏洞分析和关键警报直接发送到您的邮箱。
SSRF (服务器端请求伪造) 漏洞允许攻击者强制服务器向任意 URL 发送请求，从而可能访问内部或外部资源。
这意味着攻击者需要有效的凭据才能访问 GeoNode 的服务注册端点。
版本 5.0.3 包含防止利用此 SSRF 漏洞的必要修复。
作为临时措施，请限制服务注册端点的访问并限制 GeoNode 的外部连接。
请访问 GeoNode 的官方网站：[https://geonode.org/](https://geonode.org/)
上传你的 requirements.txt 文件，立即知道是否受影响。