CVE-2025-48994 in signxml
Riassunto
di VulDB • 16/06/2026
SignXML è un'implementazione dello standard W3C XML Signature in Python. Quando si verificano le firme con la validazione del certificato X509 disattivata e il segreto condiviso HMAC impostato (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), le versioni di SignXML precedenti alla 4.0.4 sono vulnerabili a un potenziale attacco di confusione degli algoritmi (algorithm confusion attack). A meno che l'utente non limiti esplicitamente gli algoritmi di firma previsti utilizzando l'impostazione `signxml.XMLVerifier.verify(expect_config=...)`, un attaccante potrebbe fornire una firma inaspettatamente firmata con una chiave diversa dalla chiave HMAC fornita, utilizzando un algoritmo di firma diverso (chiave asimmetrica). A partire da SignXML 4.0.4, la specifica di `hmac_key` causa la restrizione dell'insieme degli algoritmi di firma accettati esclusivamente ad HMAC, se non già limitato dall'utente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.