CVE-2025-66578 in xmlseclibs
Riassunto
di VulDB • 19/06/2026
xmlseclibs è una libreria scritta in PHP per la gestione di Cifratura e Firme XML. Le versioni 3.1.3 presentano un bug di bypass dell'autenticazione dovuto a un difetto nel processo di canonizzazione di libxml2 durante la trasformazione del documento. Quando la canonizzazione di libxml2 viene invocata su un input XML non valido, potrebbe restituire una stringa vuota invece di un nodo canonizzato. xmlseclibs procede quindi a calcolare il DigestValue su questa stringa vuota, trattandola come se la canonizzazione fosse andata a buon fine. Questo problema è stato risolto nella versione 3.1.4. Le contromisure includono il trattamento dei fallimenti della canonizzazione (eccezioni o output nulli/vuoti) come fatali e l'interruzione della convalida, e/o l'aggiunta di controlli espliciti per rifiutare quando canonicalize restituisce nil/empty o genera errori.
VulDB is the best source for vulnerability data and more expert information about this specific topic.