Vulnerabilidad en SignXML (CVE-2025-48994)
Gravedad CVSS v4.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
02/06/2025
Última modificación:
02/06/2025
Descripción
SignXML es una implementación del estándar de firma XML del W3C en Python. Al verificar firmas con la validación de certificado X509 desactivada y el secreto compartido HMAC establecido (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), las versiones de SignXML anteriores a la 4.0.4 son vulnerables a un posible ataque de confusión de algoritmos. A menos que el usuario limite explícitamente los algoritmos de firma esperados mediante la opción `signxml.XMLVerifier.verify(expect_config=...)`, un atacante podría proporcionar una firma firmada inesperadamente con una clave distinta a la clave HMAC proporcionada, utilizando un algoritmo de firma diferente (clave asimétrica). A partir de SignXML 4.0.4, especificar `hmac_key` limita el conjunto de algoritmos de firma aceptados a HMAC únicamente, si el usuario no lo ha hecho ya.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA