Podatności Szafir
3 znanych podatności CVE w Szafir, przetłumaczonych i ocenionych.
- CVE-2026-93571Niskie
Szafir zawiera podatność typu Path Traversal w nazwie przesyłanego pliku. Atakujący w pozycji man-in-the-middle, który przekieruje żądanie aktualizacji na własny serwer, może przygotować dowolny plik XML, który zostanie zapisany w lokalizacji wybranej przez atakującego. Problem naprawiono w wersji 2.0 build 708.
- CVE-2026-93570Wysokie
Szafir i Szafir Weryfikująca są podatne na wstrzyknięcie XML External Entity (XXE). Gdy użytkownik podpisuje lub weryfikuje spreparowany plik XML zawierający DOCTYPE z zewnętrznym odwołaniem do DTD, parser przetwarza zewnętrzne encje, umożliwiając atakującemu odczyt dowolnych plików z systemu ofiary. Luka została naprawiona w Szafir w wersji 2.0 build 708. Szafir Weryfikująca nie jest już wspierana (End of Life) i nie została naprawiona.
- CVE-2026-106036Średnie
Aplikacja Szafir akceptuje dowolny certyfikat klienta lub serwera bez weryfikacji certyfikatu i nazwy hosta, co pozwala na nawiązywanie połączeń HTTPS bez uwierzytelnienia zdalnego serwera. Atakujący może podstawić dowolny certyfikat SSL/TLS i spowodować pobranie pliku aktualizacji z jego serwera.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS