p PatchFirst

CVE-2025-29775

CVE-2025-29775 · xml-crypto Vulnerable to XML Signature Verification Bypass via DigestValue Comment

CVSS 9.3 · Критический · EPSS 10,1% · Есть исправление

Затронуты ли вы?

  • xml-cryptoНет опубликованного исправления
  • xml-crypto npmОбновитесь до 6.0.1

Как узнать установленную версию:

npm ls xml-crypto

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания xml-crypto и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

xml-crypto is an XML digital signature and encryption library for Node.js. An attacker may be able to exploit a vulnerability in versions prior to 6.0.1, 3.2.1, and 2.1.6 to bypass authentication or authorization mechanisms in systems that rely on xml-crypto for verifying signed XML documents. The vulnerability allows an attacker to modify a valid signed XML message in a way that still passes signature verification checks. For example, it could be used to alter critical identity or access control attributes, enabling an attacker to escalate privileges or impersonate another user. Users of versions 6.0.0 and prior should upgrade to version 6.0.1 to receive a fix. Those who are still using v2.x or v3.x should upgrade to patched versions 2.1.6 or 3.2.1, respectively.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • xml-crypto

    Версии
    • >= 4.0.0, < 6.0.1: Затронуто
    • >= 3.0.0, < 3.2.1: Затронуто
    • < 2.1.6: Затронуто

    Нет опубликованного исправления

  • xml-crypto npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 6.0.1

    Обновитесь до 6.0.1

  • xml-crypto npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 3.0.0, < 3.2.1

    Обновитесь до 3.2.1

  • xml-crypto npm

    Затронутые диапазоны версий
    • SEMVER: < 2.1.6

    Обновитесь до 2.1.6

Первоисточники

Проверьте свой сервер →