Szafirに外部エンティティ注入の脆弱性、ファイルを読み取られるおそれ
Summary
Szafirは、細工されたXMLファイルに署名や検証をすると、利用者の端末内のファイルを読み取られるおそれがあるXXE注入の脆弱性です。影響を受けるのは2.0.0以前のSzafirと1.0以前のSzafir Weryfikującaで、Szafirは2.0 build 708で修正されています。Szafir Weryfikującaはサポート終了により修正されないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Szafirは、細工されたXMLファイルに署名や検証をすると、利用者の端末内のファイルを読み取られるおそれがあるXXE注入の脆弱性です。影響を受けるのは2.0.0以前のSzafirと1.0以前のSzafir Weryfikującaで、Szafirは2.0 build 708で修正されています。Szafir Weryfikującaはサポート終了により修正されないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Krajowa Izba Rozliczeniowa | Szafir |
≤ 2.0.0 |
— |
| Krajowa Izba Rozliczeniowa | Szafir Weryfikująca |
≤ 1.0 |
— |
Original description The description as published by the source.
Szafir and Szafir Weryfikująca are vulnerable to XML External Entity (XXE) injection. When a user signs or verify a crafted XML file containing a DOCTYPE with an external DTD reference, the parser processes external entities, allowing an attacker to read arbitrary files from the victim's filesystem.
This issue was fixed in Szafir version 2.0 build 708. Szafir Weryfikująca is no longer supported (End of Life) and has not been fixed.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web elektronicznypodpis.pl
- web github.com