CVE-2025-40934
KrytyczneStreszczenie
XML-Sig w wersjach od 0.27 do 0.67 dla Perla nieprawidłowo weryfikuje pliki XML, jeśli podpisy są pominięte. Atakujący może usunąć podpis z dokumentu XML, aby przeszedł on weryfikację. XML-Sig to moduł Perla do walidacji podpisów w plikach XML. Niepodpisany plik XML powinien zwracać komunikat o błędzie, ale dotknięte wersje zwracają true podczas próby walidacji pliku XML bez podpisów.
Ocena ryzyka
Atakujący może sfałszować dokumenty XML, usuwając podpisy, co może prowadzić do naruszenia integralności danych i autoryzacji w systemach używających XML-Sig.
Rekomendacja
Zaktualizuj moduł XML-Sig do wersji nowszej niż 0.67. Jeśli to możliwe, wymuś obecność podpisów w przetwarzanych dokumentach XML.
Inne podatności w XML-Sig
Zobacz wszystkie- CVE-2026-9487Krytyczne
Podatność w bibliotece XML::Sig dla Perla (wersje przed 0.71) pozwala na ominięcie weryfikacji podpisu poprzez duplikację identyfikatora ID. Funkcja _get_signed_xml() wybiera pierwszy węzeł z zestawu pasującego do wyrażenia XPath, co umożliwia atakującemu podmianę treści podpisanego dokumentu.
- CVE-2026-9390Krytyczne
Podatność XPath injection w module XML::Sig dla Perla przed wersją 0.71. Funkcje verify() i _get_signed_xml() budują wyrażenia XPath bez odpowiedniego escapowania wartości URI z dokumentu, co pozwala na wstrzyknięcie własnych operatorów XPath.
- CVE-2026-18568Wysokie
XML::Sig dla Perla w wersjach od 0.29 do 0.71 pozwala na ominięcie weryfikacji podpisu. Funkcja verify zwraca true, gdy każdy podpis został pominięty przed jakimkolwiek sprawdzeniem kryptograficznym. Atakujący może dostarczyć dokument XML z dwoma elementami Signature, których URI odwołuje się do nieistniejącego ID, co powoduje, że verify zwraca true bez sprawdzenia podpisu.
Oryginalny opis (angielski, źródło NVD)
XML-Sig versions 0.27 through 0.67 for Perl incorrectly validates XML files if signatures are omitted. An attacker can remove the signature from the XML document to make it pass the verification check. XML-Sig is a Perl module to validate signatures on XML files. An unsigned XML file should return an error message. The affected versions return true when attempting to validate an XML file that contains no signatures.