CVE-2025-48995 in signxml
Sumário
de VulDB • 29/06/2026
SignXML é uma implementação do padrão W3C XML Signature em Python. Ao verificar assinaturas com a validação de certificado X509 desativada e o segredo compartilhado HMAC definido (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), as versões do SignXML anteriores à 4.0.4 são vulneráveis a um possível ataque de tempo (timing attack). O verificador pode vazar informações sobre o HMAC correto ao compará-lo com o hash fornecido pelo usuário, permitindo que os usuários reconstruam o HMAC correto para qualquer dado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.