CVE-2025-48994 in signxml
要約
〜によって VulDB • 2026年05月09日
SignXMLは、PythonにおけるW3C XML Signature標準の実装です。X509証明書検証が無効にされ、HMAC共有シークレットが設定されている状態で署名の検証を行う場合（`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...)`）、バージョン4.0.4以前のSignXMLは、潜在的なアルゴリズム混同攻撃に対して脆弱です。ユーザーが`signxml.XMLVerifier.verify(expect_config=...)`設定を使用して期待される署名アルゴリズムを明示的に制限しない限り、攻撃者は、提供されたHMACキーとは異なるキーを使用して、異なる（非対称キー）署名アルゴリズムで署名された署名を予期せず提供することが可能です。SignXML 4.0.4以降では、`hmac_key`を指定すると、ユーザーによって既に制限されていない限り、受け入れ可能な署名アルゴリズムのセットがHMACのみに制限されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.