CVE catalog

CVE-2026-42030

MapServer is a system for developing web-based GIS applications. From version 6.0 to before version 8.6.2, a reflected XSS vulnerability in MapServer's WMS server allows an unauthenticated attacker to

[CVE catalog]

Severity
Medium · CVSS 6.1
Published
Source
[NVD] · [CVE record]
EPSS
0.25% · Oct 25, 2026

MapServer is a system for developing web-based GIS applications. From version 6.0 to before version 8.6.2, a reflected XSS vulnerability in MapServer's WMS server allows an unauthenticated attacker to inject arbitrary HTML/JavaScript into the browser of any user who opens a crafted WMS URL. The vulnerability is triggered via FORMAT=application/openlayers combined with an unsanitized SRS parameter in WMS 1.3.0 requests. This issue has been patched in version 8.6.2.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianmapserversid8.6.6-1fixed
Debianmapserverforky8.6.6-1fixed
Debianmapservertrixie8.4.0-4+deb13u2vulnerable
Debianmapserverbookworm8.0.0-3+deb12u1vulnerable
CpemapserverNot reportedNot reportedvulnerable
CpemapserverNot reported8.6.2fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianmapserversourcesid8.6.2-1not yet assignedNot reportedNot reported
Debianmapserversourceforky8.6.2-1not yet assignedNot reportedNot reported
Debianmapserversourcetrixie(unfixed)not yet assignedNot reportedNot reported
Debianmapserversourcebookworm(unfixed)not yet assignedNot reportedNot reported
CpemapservercpeNot reported8.6.2Not reportedNot reportedNot reported

Notes

[trixie] mapserver: Minor issue [bookworm] mapserver: Minor issue, reflected XSS

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [cgi-mapserver]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapscript-java]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapscript-perl]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapserver2]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapserver-dev]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [mapserver-bin]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [mapserver-doc]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · all · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · all · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · all · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · all · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [php-mapscript-ng]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [python3-mapscript]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

[Debian 13 (Trixie)]

  • [cgi-mapserver]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapscript-java]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapscript-perl]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapserver2t64]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapserver-dev]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [mapserver-bin]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [mapserver-doc]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · all · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · all · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · all · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · all · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [php-mapscript-ng]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [python3-mapscript]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX]