CVE catalog

CVE-2026-54355

MapServer is a system for developing web-based GIS applications. From 6.0 until 8.6.4, MapServer's OpenLayers HTML output for SERVICE=WMS&REQUEST=GetMap&FORMAT=application/openlayers reflects an attac

[CVE catalog]

Severity
High · CVSS 8.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Published
Updated
Source
[NVD] · [CVE record]
EPSS
0.50% · Oct 25, 2026

MapServer is a system for developing web-based GIS applications. From 6.0 until 8.6.4, MapServer's OpenLayers HTML output for SERVICE=WMS&REQUEST=GetMap&FORMAT=application/openlayers reflects an attacker-controlled X-Forwarded-Host value received as HTTP_X_FORWARDED_HOST through msBuildOnlineResource(), processLine(), and the [mapserv_onlineresource] substitution in src/maputil.c and src/maptemplate.c without escaping it for a single-quoted JavaScript string. When the deployment trusts the forwarded header and does not configure a fixed ows_onlineresource or MS_ONLINERESOURCE value, embedded single quotes can escape the generated URL string. An unauthenticated attacker can craft a URL that executes arbitrary JavaScript in the MapServer site origin when opened by a victim, enabling access to sessions or tokens, same-origin data and requests, and actions as the victim. This issue is fixed in version 8.6.4.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianmapserversid8.6.6-1fixed
Debianmapserverforky8.6.6-1fixed
Debianmapservertrixie8.4.0-4+deb13u2vulnerable
Debianmapserverbookworm8.0.0-3+deb12u1vulnerable
Ubuntumapserver16.047.0.0-4build1vulnerable
Ubuntumapserver16.047.0.0-5ubuntu1vulnerable
Ubuntumapserver16.047.0.0-7vulnerable
Ubuntumapserver16.047.0.0-8vulnerable
Ubuntumapserver16.047.0.0-8build1vulnerable
Ubuntumapserver16.047.0.0-9vulnerable
Ubuntumapserver16.047.0.0-9ubuntu1vulnerable
Ubuntumapserver16.047.0.0-9ubuntu2vulnerable
Ubuntumapserver16.047.0.0-9ubuntu3vulnerable
Ubuntumapserver16.047.0.0-9ubuntu3.1vulnerable
Ubuntumapserver18.047.0.6-2build1vulnerable
Ubuntumapserver18.047.0.7-1vulnerable
Ubuntumapserver18.047.0.7-1build1vulnerable
Ubuntumapserver18.047.0.7-1build2vulnerable
Ubuntumapserver20.047.4.1-1build1vulnerable
Ubuntumapserver20.047.4.1-1build3vulnerable
Ubuntumapserver20.047.4.2-1vulnerable
Ubuntumapserver20.047.4.2-1build1vulnerable
Ubuntumapserver20.047.4.3-1vulnerable
Ubuntumapserver20.047.4.3-1build2vulnerable
Ubuntumapserver20.047.4.3-2vulnerable
Ubuntumapserver20.047.4.3-2build1vulnerable
Ubuntumapserver22.047.6.3-1~exp1ubuntu1vulnerable
Ubuntumapserver22.047.6.4-2vulnerable
Ubuntumapserver22.047.6.4-2build2vulnerable
Ubuntumapserver24.048.0.1-2build1vulnerable
Ubuntumapserver24.048.0.1-2build2vulnerable
Ubuntumapserver24.048.0.1-2build3vulnerable
Ubuntumapserver24.048.0.1-2build5vulnerable
Ubuntumapserver24.048.0.1-4ubuntu1vulnerable
Ubuntumapserver24.048.0.1-4ubuntu2vulnerable
Ubuntumapserver26.048.4.0-4build1vulnerable
Ubuntumapserver26.048.4.1-1vulnerable
Ubuntumapserver26.048.4.1-1build1vulnerable
Ubuntumapserver26.048.4.1-2vulnerable
Ubuntumapserver26.048.4.1-2build1vulnerable
Ubuntumapserver26.048.6.0-1vulnerable
Ubuntumapserver26.048.6.0-1build1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianmapserversourcesid8.6.4-1not yet assignedNot reportedNot reported
Debianmapserversourceforky8.6.4-1not yet assignedNot reportedNot reported
Debianmapserversourcetrixie(unfixed)not yet assignedNot reportedNot reported
Debianmapserversourcebookworm(unfixed)not yet assignedNot reportedNot reported

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [cgi-mapserver]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapscript-java]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapscript-perl]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapserver2]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [libmapserver-dev]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [mapserver-bin]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [mapserver-doc]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · all · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · all · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · all · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · all · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [php-mapscript-ng]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

  • [python3-mapscript]Affected

    Source package: [mapserver]

    Details (4)

    • 8.0.0-3+deb12u1 · amd64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.0.0-3+deb12u1 · arm64 · bookworm

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · amd64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

    • 8.4.0-1~bpo12+1 · arm64 · bookworm-backports

      Affected

      nvd · mapserver · debian · bookworm; nvd · mapserver · debian · 12

[Debian 13 (Trixie)]

  • [cgi-mapserver]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapscript-java]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapscript-perl]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapserver2t64]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [libmapserver-dev]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [mapserver-bin]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [mapserver-doc]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · all · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · all · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · all · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · all · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [php-mapscript-ng]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

  • [python3-mapscript]Affected

    Source package: [mapserver]

    Details (4)

    • 8.4.0-4+deb13u2 · amd64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.4.0-4+deb13u2 · arm64 · trixie

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · amd64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

    • 8.6.5-1~bpo13+1 · arm64 · trixie-backports

      Affected

      nvd · mapserver · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX]