CVE-2026-93570
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Szafir i Szafir Weryfikująca są podatne na wstrzyknięcie XML External Entity (XXE). Gdy użytkownik podpisuje lub weryfikuje spreparowany plik XML zawierający DOCTYPE z zewnętrznym odwołaniem do DTD, parser przetwarza zewnętrzne encje, umożliwiając atakującemu odczyt dowolnych plików z systemu ofiary. Luka została naprawiona w Szafir w wersji 2.0 build 708. Szafir Weryfikująca nie jest już wspierana (End of Life) i nie została naprawiona.
Ocena ryzyka
Atakujący może odczytać dowolne pliki z systemu ofiary, co może prowadzić do wycieku poufnych danych, takich jak klucze kryptograficzne czy dane osobowe.
Rekomendacja
Zaktualizuj Szafir do wersji 2.0 build 708 lub nowszej; dla Szafir Weryfikująca, która nie jest wspierana, zaleca się zaprzestanie użytkowania lub wdrożenie środków kompensacyjnych (np. walidacja plików XML).
Inne podatności w Szafir
Zobacz wszystkie- CVE-2026-93571Niskie
Szafir zawiera podatność typu Path Traversal w nazwie przesyłanego pliku. Atakujący w pozycji man-in-the-middle, który przekieruje żądanie aktualizacji na własny serwer, może przygotować dowolny plik XML, który zostanie zapisany w lokalizacji wybranej przez atakującego. Problem naprawiono w wersji 2.0 build 708.
- CVE-2026-106036Średnie
Aplikacja Szafir akceptuje dowolny certyfikat klienta lub serwera bez weryfikacji certyfikatu i nazwy hosta, co pozwala na nawiązywanie połączeń HTTPS bez uwierzytelnienia zdalnego serwera. Atakujący może podstawić dowolny certyfikat SSL/TLS i spowodować pobranie pliku aktualizacji z jego serwera.
Oryginalny opis (angielski, źródło NVD)
Szafir and Szafir Weryfikująca are vulnerable to XML External Entity (XXE) injection. When a user signs or verify a crafted XML file containing a `DOCTYPE` with an external DTD reference, the parser processes external entities, allowing an attacker to read arbitrary files from the victim's filesystem. This issue was fixed in Szafir version 2.0 build 708. Szafir Weryfikująca is no longer supported (End of Life) and has not been fixed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS