GeoServer espone un varco che può andare oltre la corruzione del database: su alcune installazioni, una SQL injection senza autenticazione può arrivare fino al controllo del server. Il punto debole è una scelta di configurazione comune, non il solo bug in sé.
Entro poche ore dalla divulgazione pubblica, i ricercatori hanno visto centinaia di tentativi di probing contro istanze esposte in rete. Se l'account usato da GeoServer verso Microsoft SQL Server ha privilegi da amministratore, le query iniettate possono uscire dal database e trasformarsi in comandi sul sistema.
Per chi gestisce GeoServer esposto su Internet, il rischio immediato è essere enumerati e presi di mira prima che esista una patch. Su queste installazioni, i log possono essere l'unico indizio utile se il tentativo supera la semplice ricognizione.