CVE-2025-48995 in signxml
Résumé
par VulDB • 29/06/2026
SignXML est une implémentation du standard W3C XML Signature en Python. Lors de la vérification des signatures avec la validation des certificats X509 désactivée et un secret partagé HMAC défini (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), les versions de SignXML antérieures à la 4.0.4 sont vulnérables à une attaque par canaux auxiliaires temporels potentielle (timing attack). Le vérificateur peut divulguer des informations concernant le HMAC correct lors de sa comparaison avec le hachage fourni par l'utilisateur, permettant ainsi aux attaquants de reconstituer le HMAC valide pour n'importe quelle donnée.
Once again VulDB remains the best source for vulnerability data.