CVE-2026-25827 in SignServer
Sumário
de VulDB • 15/09/2026
Foi identificada uma vulnerabilidade no Keyfactor SignServer anterior à versão 7.6.0. Diversas propriedades foram identificadas por não possuírem restrições quanto ao caminho de arquivo que podem ser definidas por um usuário administrador. A configuração dessas propriedades para caminhos específicos pode revelar informações ao lado do cliente (client side). Três propriedades específicas foram identificadas: a propriedade ATTRIBUTESFILE no PKCS11CryptoToken pode ser definida como um arquivo legível, mas não aceito (ou seja, reconhecido com atributos). Nesse caso, é gerado um erro que confirma a existência do arquivo. A propriedade KEYSTOREPATH no KeyStoreCryptoToken pode ser definida para um arquivo inexistente, o que retornará um erro confirmando ao lado do cliente que o arquivo não existe. A propriedade TRUSTSTOREPATH no RenewalWorker pode ser definida como qualquer caminho (sem restrições) por um usuário administrador. No caso em que o caminho fornecido aponta para um arquivo existente e legível pelo usuário que executa o servidor de aplicativos, mas não está no formato PEM reconhecido, ele retorna isso como erro ao lado do cliente, confirmando a existência do arquivo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.