CVE-2026-9390— TIMLEGGE XML::Sig 软件供应链问题漏洞
一分钟漏洞结论
影响对象
TIMLEGGE XML::Sig
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
timlegge XML::Sig是timlegge个人开发者的一款处理XML数字签名的Perl模块。 TIMLEGGE XML::Sig 0.71之前版本存在安全漏洞，该漏洞源于verify()和_get_signed_xml()在构建XPath表达式时未对SignedInfo/Reference/@URI值进行转义和检查，可能导致XPath注入，攻击者可通过特制URI控制摘要验证选择的节点。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-9390 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
XML::Sig versions before 0.71 for Perl allow XPath injection in ID lookup
来源: CVE Program / CVE List V5
Vulnerability Description
XML::Sig versions before 0.71 for Perl allow XPath injection in ID lookup.
verify() and _get_signed_xml() in lib/XML/Sig.pm build XPath expressions by concatenating the SignedInfo/Reference/@URI value read from the document being verified. The value is neither escaped nor checked against the NCName grammar that XML requires of an ID, so a URI containing a single quote closes the string literal in the generated expression and appends arbitrary XPath operators.
A crafted URI can make the lookup match elements the reference does not name, or every element in the document, so which node is selected for digest verification is decided by the injected expression rather than by the reference.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
XPath表达式中数据转义处理不恰当(XPath注入)
来源: CVE Program / CVE List V5
Vulnerability Title
TIMLEGGE XML::Sig 软件供应链问题漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
timlegge XML::Sig是timlegge个人开发者的一款处理XML数字签名的Perl模块。 TIMLEGGE XML::Sig 0.71之前版本存在安全漏洞，该漏洞源于verify()和_get_signed_xml()在构建XPath表达式时未对SignedInfo/Reference/@URI值进行转义和检查，可能导致XPath注入，攻击者可通过特制URI控制摘要验证选择的节点。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
二、漏洞 CVE-2026-9390 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-9390 的情报信息
请登录查看更多情报信息。
CVE-2026-9390 补丁与修复 (2)
CVE-2026-9390 其他参考 (1)
-
🔗 Changes - metacpan.org release-notes
同批安全公告 · TIMLEGGE · 2026-08-03 · 共 6 条
| CVE-2026-18108 | TIMLEGGE Net::SAML2 加密问题漏洞 | |
| CVE-2026-18092 | TIMLEGGE Net::SAML2 加密问题漏洞 | |
| CVE-2026-18089 | TIMLEGGE Net::SAML2 加密问题漏洞 | |
| CVE-2026-9487 | TIMLEGGE XML::Sig 加密问题漏洞 | |
| CVE-2026-18568 | timlegge XML::Sig 加密问题漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-9390
暂无评论