CVE-2026-9390
Təsvir
Perl üçün XML::Sig-nin 0.71-dən əvvəlki versiyaları ID axtarışında XPath inyeksiyasına yol açır. lib/XML/Sig.pm faylındakı verify() və _get_signed_xml() funksiyaları, yoxlanılan sənəddən oxunan SignedInfo/Reference/@URI dəyərini birləşdirərək XPath ifadələri qurur. Bu dəyər nə escape edilir, nə də XML-in bir ID üçün tələb etdiyi NCName qrammatikasınə görə yoxlanılır, buna görə də tək dırnaq işarəsi ehtiva edən URI, yaradılmış ifadədəki sətir literalını bağlayaraq ixtiyari XPath operatorlarını əlavə edir. Xüsusi hazırlanmış URI, axtarışın istinad edilməyən elementlərlə və ya sənəddəki bütün elementlərlə uyğunlaşmasını təmin edə bilər, beləliklə, həzm yoxlaması (digest verification) üçün hansı düyünün seçiləcəyinə istinaddan çox, inyeksiya edilmiş ifadə qərar verir.
Necə düzəltmək olar
- xml\ \0.71 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xml\ \ | sig_project ≤ v < 0.71 | 0.71 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.