CVE-2026-47754

{
  "id": "CVE-2026-47754",
  "sourceIdentifier": "[email protected]",
  "published": "2026-08-10T16:19:47.797",
  "lastModified": "2026-10-23T22:10:00.160",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Metacat is data repository software that helps researchers preserve, share, and discover data. Versions 2.x through 2.19.1 and all 1.x versions contain an unauthenticated path traversal in the `archiveEntryName` parameter of the `action=read` endpoint that is part of the original 1.x Metacat API. `ArchiveHandler.readArchiveEntry()` concatenates the user-supplied parameter into a filesystem path without validation, and the surrounding `hasReadPermission()` check is commented out. An unauthenticated remote attacker can read any file accessible to the Tomcat process by sending a single GET request. Proof-of-concept exploits have been demonstrated and verified against this vulnerability, and it should be considered easily exploitable for any Metacat deployment < 3.0.0 by any user with access to the 1.x API. Through this vulnerability, production 2.x deployments are exposed to credential theft, client certificate and private key exfiltration enabling member node impersonation within the federation, embargoed research data disclosure, and broad system reconnaissance. Given Metacat's deployment footprint across the DataONE network of repositories and federally funded research programs, the population of exposed 2.x instances is non-trivial. The vulnerability was eliminated in Metacat version 3.0.0 and after by eliminating the entire Metacat 1.x API that exposed this vulnerability. The vulnerability was remediated in April 2024 with the release of Metacat 3.0.0, which removed the legacy Metacat API including ArchiveHandler.java. The commit message and issue reference architectural cleanup, not a security fix, and no advisory or CVE was issued. The 2.x branch was not and will not be backported, as is standard practice in Metacat, which only supports the most current release. 2.19.1 remains vulnerable with identical code and is beyond its supported lifetime. As a workaround, disable or restrict 1.x API servlets. Because the vulnerable 1.x API is no longer used or necessary in most Metacat deployments, restricting access to the old API endpoints can reduce or eliminate exposure for 2.19.x deployments.  After removing those features, restart Tomcat or whichever software is hosting the servlets."
    },
    {
      "lang": "es",
      "value": "Metacat es un software de repositorio de datos que ayuda a los investigadores a preservar, compartir y descubrir datos. Las versiones 2.x hasta la 2.19.1 y todas las versiones 1.x contienen un salto de ruta no autenticado en el parámetro ’archiveEntryName’ del endpoint ’action=read’ que forma parte de la API 1.x original de Metacat. ’ArchiveHandler.readArchiveEntry()’ concatena el parámetro proporcionado por el usuario en una ruta del sistema de archivos sin validación, y la verificación circundante ’hasReadPermission()’ está comentada. Un atacante remoto no autenticado puede leer cualquier archivo accesible para el proceso de Tomcat enviando una única solicitud GET. Se han demostrado y verificado exploits de prueba de concepto contra esta vulnerabilidad, y debe considerarse fácilmente explotable para cualquier implementación de Metacat anterior a 3.0.0 por cualquier usuario con acceso a la API 1.x. A través de esta vulnerabilidad, las implementaciones de producción 2.x están expuestas a robo de credenciales, exfiltración de certificados de cliente y claves privadas lo que permite la suplantación de nodos miembros dentro de la federación, divulgación de datos de investigación embargados y reconocimiento amplio del sistema. Dada la huella de implementación de Metacat en la red de repositorios DataONE y los programas de investigación financiados con fondos federales, la población de instancias 2.x expuestas no es trivial. La vulnerabilidad fue eliminada en la versión 3.0.0 de Metacat y posteriores al eliminar toda la API 1.x de Metacat que exponía esta vulnerabilidad. La vulnerabilidad fue remediada en abril de 2024 con el lanzamiento de Metacat 3.0.0, que eliminó la API heredada de Metacat, incluyendo ArchiveHandler.java. El mensaje de commit y el problema hacen referencia a una limpieza arquitectónica, no a una corrección de seguridad, y no se emitió ningún aviso o CVE. La rama 2.x no fue ni será retroportada, como es práctica estándar en Metacat, que solo soporta la versión más actual. La 2.19.1 sigue siendo vulnerable con código idéntico y está más allá de su vida útil soportada. Como solución alternativa, deshabilite o restrinja los servlets de la API 1.x. Debido a que la API 1.x vulnerable ya no se usa o es necesaria en la mayoría de las implementaciones de Metacat, restringir el acceso a los antiguos endpoints de la API puede reducir o eliminar la exposición para las implementaciones 2.19.x. Después de eliminar esas características, reinicie Tomcat o cualquier software que esté alojando los servlets."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "NCEAS",
          "product": "metacat",
          "versions": [
            {
              "version": "< 3.0.0",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N",
          "baseScore": 9.3,
          "baseSeverity": "CRITICAL",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "CHANGED",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "LOW",
          "availabilityImpact": "NONE"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 4.7
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-08-10T18:10:55.286374Z",
          "id": "CVE-2026-47754",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-22"
        },
        {
          "lang": "en",
          "value": "CWE-862"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/NCEAS/metacat/commit/07e034b2bbf7029e28af32f472f4d70ea6b5ab1b",
      "source": "[email protected]"
    },
    {
      "url": "https://github.com/NCEAS/metacat/issues/1365",
      "source": "[email protected]"
    },
    {
      "url": "https://github.com/NCEAS/metacat/pull/1713",
      "source": "[email protected]"
    },
    {
      "url": "https://github.com/NCEAS/metacat/security/advisories/GHSA-m852-f287-7cgw",
      "source": "[email protected]"
    }
  ]
}