CVE-2025-40934
KrytyczneStreszczenie
XML-Sig w wersjach od 0.27 do 0.67 dla Perla nieprawidłowo weryfikuje pliki XML, jeśli podpisy są pominięte. Atakujący może usunąć podpis z dokumentu XML, aby przeszedł on weryfikację. XML-Sig to moduł Perla do walidacji podpisów w plikach XML. Niepodpisany plik XML powinien zwracać komunikat o błędzie, ale dotknięte wersje zwracają true podczas próby walidacji pliku XML bez podpisów.
Ocena ryzyka
Atakujący może sfałszować dokumenty XML, usuwając podpisy, co może prowadzić do naruszenia integralności danych i autoryzacji w systemach używających XML-Sig.
Rekomendacja
Zaktualizuj moduł XML-Sig do wersji nowszej niż 0.67. Jeśli to możliwe, wymuś obecność podpisów w przetwarzanych dokumentach XML.
Oryginalny opis (angielski, źródło NVD)
XML-Sig versions 0.27 through 0.67 for Perl incorrectly validates XML files if signatures are omitted. An attacker can remove the signature from the XML document to make it pass the verification check. XML-Sig is a Perl module to validate signatures on XML files. An unsigned XML file should return an error message. The affected versions return true when attempting to validate an XML file that contains no signatures.