MapLibre geojson-vt: Unkontrollierte Rekursion bei verschachteltem GeometryCollection
Zusammenfassung
Die JavaScript-Bibliothek @maplibre/geojson-vt, die GeoJSON-Daten in Vektor-Kacheln zerlegt, ist anfällig für unkontrollierte Rekursion, wenn sie stark verschachtelte GeometryCollection-Objekte verarbeitet. Ein entfernter, nicht authentifizierter Angreifer kann mit einer einzigen präparierten GeoJSON-Nutzlast den Call Stack von Node.js erschöpfen und den Prozess beenden, was zu einem Denial of Service führt. Relevant ist dies vor allem für serverseitige Kachel-Dienste, die GeoJSON aus nicht vertrauenswürdigen Quellen annehmen; reine Browser-Nutzung ist weniger gefährdet.
Betroffen
- @maplibre/geojson-vt-Versionen vor 6.1.1
- Gemäss CVE-Beschreibung ist nur die serverseitige Verarbeitung untrusted GeoJSON mit Node.js exponiert
Behoben in
- Version 6.1.1 (Fix-Commit cb85688, Pull Request #156)
Umgehung
- Unbekannt. Es gibt keinen vom Hersteller dokumentierten Workaround; ein Update ist die empfohlene Massnahme.
- Mögliche Massnahmen: Verschachtelungstiefe von GeoJSON vor der Bibliothek begrenzen oder ablehnen, den Dienst unter einem Prozess-Supervisor betreiben, der ihn nach einem Absturz neu startet, und die Datenquellen einschränken.
Ausnutzung
- Nicht bekannt, ob die Lücke aktiv ausgenutzt wird.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden; die CVE wurde am 11.11.2026 veröffentlicht.
Unsere Empfehlung
- Node.js-Projekte identifizieren, die @maplibre/geojson-vt direkt oder über Kartenbibliotheken (auch transitiv) verwenden.
- Auf Version 6.1.1 oder die neueste Version aktualisieren und das Changelog prüfen.
- Internetseitig erreichbare Kachel- oder GeoJSON-Dienste priorisieren.
- Eingaben aus nicht vertrauenswürdigen Quellen einschränken oder validieren und auf Prozessabstürze überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-75qh-632x-j5pr github.com
- Release v6.1.1 github.com
- Fix commit cb85688 github.com
- Pull request #156 github.com
- CVE Record CVE-2026-58505 www.cve.org
- VulDB entry 435923 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:33.
Referenzen der NVD (5)
- https://github.com/maplibre/geojson-vt/commit/cb85688270d80894ce377969c75e631fe4b04c82
- https://github.com/maplibre/geojson-vt/pull/156
- https://github.com/maplibre/geojson-vt/releases/tag/v6.1.1
- https://github.com/maplibre/geojson-vt/security/advisories/GHSA-75qh-632x-j5pr
- https://github.com/maplibre/geojson-vt/security/advisories/GHSA-75qh-632x-j5pr
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.