CVE-2026-113729— Moov signedxml 独占XML规范化未授权拒绝服务漏洞
一分钟漏洞结论
影响对象
moov-io signedxml
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Moov signedxml 是一个用纯 Go 语言编写的库，用于处理签名的 XML 文档。在 1.4.1 版本之前， 中的 函数会在执行引用摘要或签名检查之前，对每个嵌套元素复制完整的累积命名空间映射。如果攻击者构造的 XML 包含深度嵌套的元素，并在每一层声明大量未使用的命名空间，就会导致内存分配随嵌套深度呈二次方增长、随每层前缀数量呈线性增长。这使得一个相对较小的文档就能消耗数 GB 的内存，从而导致进程终止。该问题可通过 函数触发，且无需有效的签名、匹配的证书或预先的身份认证；同时，该漏洞并不会绕过签名验证
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-113729 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Moov signedxml: Unauthenticated denial of service in exclusive XML canonicalization
来源: CVE Program / CVE List V5
Vulnerability Description
Moov signedxml is a pure Go library for processing signed XML documents. Prior to 1.4.1, ExclusiveCanonicalization in exclusivecanonicalization.go copies the complete accumulated namespace map at every nested element before reference digest or signature checks. Attacker-controlled XML containing deeply nested elements with many unused namespace declarations causes quadratic allocation growth with depth and linear growth with prefixes per level, allowing a comparatively small document to consume multiple gigabytes of memory and terminate the process. The condition is reachable through ValidateReferences without a valid signature, matching certificate, or prior authentication, and it does not bypass signature verification. This issue is fixed in version 1.4.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
未加控制的资源消耗(资源穷尽)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-113729 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-113729 的情报信息
请登录查看更多情报信息。
CVE-2026-113729 其他参考 (3)
-
https://github.com/moov-io/signedxml/releases/tag/v1.4.1 x_refsource_MISC
-
https://github.com/moov-io/signedxml/security/advisories/GHSA-5588-rp99-5fjh x_refsource_CONFIRM
IV. Related Vulnerabilities
V. Comments for CVE-2026-113729
暂无评论