CVE-2026-57917

ŚrednieCVSS 4.8

Opublikowano: 27/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 27/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Podatność XXE w proCertum SmartSign przed wersją 9.4.3.90 umożliwia parsowanie zewnętrznych encji XML z spreparowanych plików podpisów, co pozwala na SSRF i potencjalnie odczyt lokalnych plików. Podatność aktywuje się już przy podglądzie pliku w oknie wyboru.

Ocena ryzyka

Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych lub odczytać poufne pliki na serwerze, co narusza poufność i integralność systemu.

Rekomendacja

Zaktualizuj proCertum SmartSign do wersji 9.4.3.90 lub nowszej, która usuwa tę podatność.

Inne podatności w proCertum SmartSign

CVE-2026-57916Średnie
Podatność w proCertum SmartSign przed wersją 9.4.3.90 polega na otwieraniu URI z CPS (Certificate Practice Statement) bez walidacji schematu. Atakujący może przygotować certyfikat z URI wskazującym na lokalny plik wykonywalny lub URL, a po otwarciu dokumentu przez ofiarę plik zostanie uruchomiony.

Oryginalny opis (angielski, źródło NVD)

proCertum SmartSign parses external XML entities from arbitrary crafted signature files, enabling SSRF and potentially allowing the reading of local files, depending on the parser's configuration. The XML External Entity (XXE) vulnerability is triggered simply by previewing a file in the file selection window, before the victim clicks “Open”. This issue was fixed in version 9.4.3.90.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS