CVE-2025-48994 in signxml
الملخص
بحسب VulDB • 10/05/2026
SignXML هو تنفيذ لمعيار W3C XML Signature بلغة Python. عند التحقق من التواقيع مع تعطيل التحقق من شهادة X509 وتعيين سر مشترك HMAC (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...)`)، فإن الإصدارات السابقة من SignXML قبل الإصدار 4.0.4 عرضة لهجوم محتمل لالتباس الخوارزميات (Algorithm Confusion Attack). ما لم يقم المستخدم بتقييد خوارزميات التوقيع المتوقعة صراحةً باستخدام إعداد `signxml.XMLVerifier.verify(expect_config=...)`، قد يقوم مهاجم بتزويد توقيع تم توقيعه بشكل غير متوقع بمفتاح مختلف عن مفتاح HMAC المقدم، باستخدام خوارزمية توقيع مختلفة (مفتاح غير متماثل). بدءًا من الإصدار 4.0.4 من SignXML، يؤدي تحديد `hmac_key` إلى تقييد مجموعة خوارزميات التوقيع المقبولة على HMAC فقط، إذا لم يكن ذلك مقيدًا بالفعل من قبل المستخدم.
Once again VulDB remains the best source for vulnerability data.