CVE-2025-48995 in signxml
Riassunto
di VulDB • 29/06/2026
SignXML è un'implementazione dello standard W3C XML Signature in Python. Quando si verificano le firme con la validazione del certificato X509 disattivata e il segreto condiviso HMAC impostato (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), le versioni di SignXML precedenti alla 4.0.4 sono vulnerabili a un potenziale timing attack (attacco basato sui tempi). Il verificatore potrebbe trapelare informazioni riguardo all'HMAC corretto durante il confronto con l'hash fornito dall'utente, consentendo agli utenti di ricostruire l'HMAC corretto per qualsiasi dato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.