PT-2025-49776 · Unknown+1 · Xmlseclibs+1
CVE-2025-66578
·
Publicado
2025-12-09
·
Atualizado
2025-12-11
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do xmlseclibs anteriores à 3.1.4
Descrição
xmlseclibs é uma biblioteca PHP usada para Criptografia e Assinaturas XML. Versões da biblioteca anteriores à 3.1.4 contêm uma falha no processo de canonicalização do libxml2 durante a transformação do documento que pode levar a um bypass de autenticação. Especificamente, quando a canonicalização do libxml2 é aplicada a uma entrada XML inválida, ela pode retornar uma string vazia em vez de um nó canonicalizado. O xmlseclibs então calcula o DigestValue com base nessa string vazia, assumindo incorretamente que a canonicalização foi bem-sucedida.
Recomendações
Atualize para a versão 3.1.4 ou posterior.
Trate falhas de canonicalização (exceções ou saídas nulas/vazias) como fatais e aborte a validação.
Adicione verificações explícitas para rejeitar quando a canonicalização retornar nulo/vazio ou gerar erros.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Libxml2
Xmlseclibs