CVE-2025-48995 in signxml
Tóm tắt
Bởi VulDB • 29/06/2026
SignXML là một triển khai của tiêu chuẩn W3C XML Signature bằng Python. Khi xác minh chữ ký với việc kiểm tra chứng chỉ X509 bị tắt và khóa bí mật chung HMAC được đặt (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), các phiên bản SignXML trước 4.0.4 dễ bị tấn công thời gian (timing attack). Bộ xác minh có thể rò rỉ thông tin về khóa HMAC chính xác khi so sánh nó với giá trị băm do người dùng cung cấp, cho phép kẻ tấn công khôi phục lại khóa HMAC chính xác cho bất kỳ dữ liệu nào.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.