CVE-2026-9487
Təsvir
Perl üçün XML::Sig-in 0.71-dən əvvəlki versiyaları təkrarlanan ID vasitəsilə imza bükülməsinə (signature wrapping) şərait yaradır. verify() tərəfindən çağırılan lib/XML/Sig.pm faylındakı _get_signed_xml() funksiyası, SignedInfo Reference/@URI-ni "//*[@ID='$id']" XPath ifadəsi ilə düyünə həll edir və nəticədə alınan düyün çoxluğunun ilk düyününü qaytarır. İki elementin eyni ID dəyərini paylaşdığı sənəd qəbul edilir: heydayest (digest) və imza sənəd sırasına görə birinci gələn elementə əsasən yoxlanılır və dublikat aşkar edilmir. Belə bir sənəd uğurla təsdiqlənir, lakin eyni ID-ni müstəqil şəkildə həll edən tətbiq hücumkeş tərəfindən təmin edilən ikinci elementi oxuya bilər; SAML2 kontekstində bu, Assertion məzmununu hücumkeşin nəzarətinə verir.
Necə düzəltmək olar
- xml\ \0.71 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| xml\ \ | sig_project ≤ v < 0.71 | 0.71 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.