SignXML's signature verification with HMAC is vulnerable to a timing attack
When verifying signatures with X509 certificate validation turned off and HMAC shared secret set (signxml.XMLVerifier.verify(require_x509=False, hmac_key=...), prior versions of SignXML are vulnerable to a potential timing attack. The verifier may leak information about the correct HMAC when comparing it with the user supplied hash, allowing users to reconstruct the correct HMAC for any data.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | signxml | < 4.0.4 | 4.0.4 |
Odnośniki
- https://github.com/XML-Security/signxml/security/advisories/GHSA-gmhf-gg8w-jw42
- https://nvd.nist.gov/vuln/detail/CVE-2025-48995
- https://github.com/XML-Security/signxml/commit/1b501faaacf34cf978a52dbc6915ec11e27611cd
- https://github.com/XML-Security/signxml
- https://pypi.org/project/signxml
- https://github.com/advisories/GHSA-gmhf-gg8w-jw42
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-208- Platforma
- Python (PyPI)
- Paczka
signxml- Ujawniono
- 05.06.2025
- Aktualizacja
- 11.10.2026 13:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1922 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-gmhf-gg8w-jw42 - CC BY 4.0
Historia podatności: signxml
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 06.2025 06.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Średnia 2
Ujawnienia w latach
- 2025: 2
- 2026: 0
-
SignXML's signature verification with HMAC is vulnerable to a timing attack ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.