CVE-2025-66578
Açıklama
xmlseclibs, XML Şifreleme ve İmzaları ile çalışmak için PHP dilinde yazılmış bir kütüphanedir. Versiyon 3.1.3, belge dönüştürme sırasındaki libxml2 kanonizasyon sürecindeki bir hata nedeniyle kimlik doğrulama atlatma zafiyeti içermektedir. Geçersiz bir XML girdisi üzerinde libxml2'nin kanonizasyonu çağrıldığında, kanonize edilmiş bir düğüm yerine boş bir dize döndürebilir. xmlseclibs daha sonra bu boş dize üzerinden DigestValue hesaplamaya devam ederek, kanonizasyon başarılı olmuş gibi işlem yapar. Bu sorun versiyon 3.1.4'te düzeltilmiştir. Geçici çözümler arasında; kanonizasyon hatalarının (istisnalar veya nil/boş çıktılar) kritik olarak değerlendirilip doğrulamanın durdurulması ve/veya kanonize işleminin nil/boş döndürdüğü veya hata verdiği durumları reddetmek için açık kontroller eklenmesi yer almaktadır.
Nasıl düzeltilir
- xmlseclibs_project xmlseclibs3.1.4 ya da sonraki bir sürüm
- robrichards/xmlseclibs3.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xmlseclibs_project xmlseclibs | v < 3.1.4 | 3.1.4 |
| robrichards/xmlseclibsPackagist | v < 3.1.4 | 3.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.