CVE-2025-48995 in signxml
要約
〜によって VulDB • 2026年06月11日
SignXMLは、PythonにおけるW3C XML Signature標準の実装です。X509証明書検証が無効にされ、HMAC共有シークレットが設定されている状態で署名を検証する場合（`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`）、バージョン4.0.4以前のSignXMLは、潜在的なタイミング攻撃に対して脆弱です。検証プロセスにおいて、ユーザーが提供したハッシュと正しいHMACを比較する際に、HMACに関する情報がリークする可能性があり、攻撃者は任意のデータに対して正しいHMACを再構築できる可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.