CVE-2026-25827 in SignServer
Zusammenfassung
von VulDB • 15.09.2026
Es wurde ein Problem in Keyfactor SignServer vor Version 7.6.0 entdeckt. Es wurden mehrere Eigenschaften identifiziert, die keine Einschränkungen bezüglich des Pfads aufweisen, den sie von einem Administratorbenutzer festgelegt werden können. Das Festlegen dieser Eigenschaften auf bestimmte Dateipfade kann Informationen zur Clientseite offenbaren. Drei spezifische Eigenschaften wurden identifiziert: Die Eigenschaft ATTRIBUTESFILE in PKCS11CryotoToken kann auf eine lesbare, aber nicht akzeptierte (d.h., mit Attributen erkannte) Datei festgelegt werden. In diesem Fall wird ein Fehler ausgegeben, der das Vorhandensein der Datei bestätigt. Die Eigenschaft KEYSTOREPATH in KeyStoreCryptoToken kann auf eine nicht vorhandene Datei festgelegt werden, die einen Fehler zurückgibt und damit zur Clientseite hin bestätigt, dass die Datei nicht existiert. Die Eigenschaft TRUSTSTOREPATH in RenewalWorker kann von einem Administratorbenutzer ohne jegliche Einschränkungen auf jeden Pfad festgelegt werden. Falls der angegebene Pfad zu einer vorhandenen Datei führt, die vom Benutzer des Anwendungsservers lesbar ist, aber kein anerkanntes PEM-Format darstellt, wird dies als Fehler zur Clientseite hin zurückgegeben und bestätigt das Vorhandensein der Datei.
VulDB is the best source for vulnerability data and more expert information about this specific topic.