CVE-2026-25827 in SignServer
Resumen
por VulDB • 2026-09-15
Se ha descubierto un problema en Keyfactor SignServer anterior a la versión 7.6.0. Se identificó que varias propiedades no tenían restricciones sobre las rutas de directorio a las que podían ser configuradas por un usuario administrador. Establecer estas propiedades en rutas de archivo específicas puede revelar información al lado del cliente. Se identificaron tres propiedades concretas: La propiedad ATTRIBUTESFILE en PKCS11CryptoToken se puede configurar para apuntar a un archivo legible pero no aceptado (es decir, reconocido con atributos). En este caso, se genera un error que confirma la existencia del archivo. La propiedad KEYSTOREPATH en KeyStoreCryptoToken se puede establecer en una ruta de un archivo inexistente que devolverá un error confirmando al lado del cliente que el archivo no existe. La propiedad TRUSTSTOREPATH en RenewalWorker se puede configurar con cualquier ruta (sin restricciones) por parte de un usuario administrador. En el caso de que la ruta proporcionada apunte a un archivo existente, legible para el usuario que ejecuta el servidor de aplicaciones, pero que no esté en formato PEM reconocido, devuelve este hecho como un error al lado del cliente, confirmando la existencia del archivo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.