Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-33487 high CVSS 7.5

Vulnérabilité dans Goxmldsig Project (CVE-2026-33487)

Résumé

Vulnérabilité dans Goxmldsig Project (CVE-2026-33487). Les données peuvent être altérées par des attaquants. Exploitable via validateSignature.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

goxmlsig provides XML Digital Signatures implemented in Go. Prior to version 1.6.0, the validateSignature function in validate.go goes through the references in the SignedInfo block to find one that matches the signed element's ID. In Go versions before 1.22, or when go.mod uses an older version, there is a loop variable capture issue. The code takes the address of the loop variable _ref instead of its value. As a result, if more than one reference matches the ID or if the loop logic is incorrect, the ref pointer will always end up pointing to the last element in the SignedInfo.References slice after the loop. goxmlsig version 1.6.0 contains a patch.

Source: NIST National Vulnerability Database NVD

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-33487 a été découverte dans Goxmldsig Project.
Des attaquants peuvent cibler un point d'entrée spécifique comme validateSignature à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Goxmldsig Project CVE-2026-33487 » sur le site de l'éditeur.

CVE-2026-33487 (Goxmldsig Project) — CWE-347 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : validateSignature / validate.go / SignedInfo / go.mod
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-347) affecte Goxmldsig Project. Les attaquants atteignent le code vulnérable via validateSignature sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Goxmldsig Project. Surface d'attaque : validateSignature / validate.go / SignedInfo / go.mod.

🔥 Gravité

Gravité : Élevée (CVSS 7.5/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers la version corrigée selon l'avis éditeur.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    Audit SBOM/dependencies for affected components.

    資産台帳・SBOM・依存マニフェストで Goxmldsig Project を使っているサービスとバージョンを洗い出す。

  2. 2
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus