- Son 7 gün
- CWE-611
CVE-2026-93570
Szafir ve Szafir Weryfikująca uygulamalarında XML harici varlık (XXE) enjeksiyonu
Krajowa Izba Rozliczeniowa SzafirKrajowa Izba Rozliczeniowa Szafir Weryfikująca
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- CERT-PL
Yönetici özeti
Bu açık, elektronik imza uygulamalarında kullanıcıların bilgisayarlarındaki hassas dosyaların okunmasına yol açabilir. Etkilenen Szafir sürümünün güncellenmesi önemlidir, çünkü saldırı basit bir dosya işlemiyle tetiklenebilir. Szafir Weryfikująca ürünü artık desteklenmediği için bu ürünün kullanımının sonlandırılması değerlendirilmelidir.
ÖzetTürkçe
Szafir ve Szafir Weryfikująca uygulamalarında, harici DTD referansı içeren DOCTYPE bildirimi bulunan hazırlanmış bir XML dosyası imzalanırken veya doğrulanırken XML ayrıştırıcısı harici varlıkları işlemektedir. Bu durum XML harici varlık (XXE) enjeksiyonu açığına yol açar. Etkilenen sürümler Szafir 2.0.0 ve öncesi ile Szafir Weryfikująca 1.0 ve öncesidir.
Saldırgan ne yapabilir?
Saldırgan, kurbanın dosya sisteminde yetkisi dahilinde bulunan keyfi dosyaları okuyabilir. Kullanıcının kendisi dosyayı imzalama veya doğrulama işlemi yaptığında saldırı gerçekleşir.
Kaynaktaki açıklama (İngilizce)
Szafir and Szafir Weryfikująca are vulnerable to XML External Entity (XXE) injection. When a user signs or verify a crafted XML file containing a DOCTYPE with an external DTD reference, the parser processes external entities, allowing an attacker to read arbitrary files from the victim's filesystem.
This issue was fixed in Szafir version 2.0 build 708. Szafir Weryfikująca is no longer supported (End of Life) and has not been fixed.
Ne yapmalı?
- Szafir uygulamasını 2.0 build 708 veya üzeri bir sürüme güncelleyin. Genel öneri
- Szafir Weryfikująca ürününü kullanmayı bırakın; ürün desteklenmediği (End of Life) için bu açık giderilmeyecektir. Yerine desteklenen bir doğrulama çözümüne geçin. Genel öneri
- Güncelleme yapılana kadar, güvenilmeyen kaynaklardan gelen XML dosyalarını imzalamayın veya doğrulamayın. Genel öneri
Ek önlemler
- Bilinmeyen kaynaklardan gelen XML dosyalarını e-posta ekleri veya indirmeler yoluyla açmadan önce doğrulayın. Genel öneri
- Elektronik imza uygulamalarının çalıştığı bilgisayarlarda hassas dosyalara erişimi, ilkesi gereği gereken kullanıcılarla sınırlandırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Krajowa Izba Rozliczeniowa Szafir | ≤ 2.0.0 | – |
| Krajowa Izba Rozliczeniowa Szafir Weryfikująca | ≤ 1.0 | – |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/posts/2026/10/CVE-2026-93570 Üçüncü taraf
- elektronicznypodpis.pl Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.