Heimdall Security Logo

CVE-2025-29774

Vulnérabilité critique dans xml-crypto (node-saml)

CVSS 9.3 · Critique
EPSS 9.1%
node-saml•xml-crypto•Versions : >= 3.0.0, < 3.2.1, >= 4.0.0, < 6.0.1, < 2.1.6

Description

xml-crypto is an XML digital signature and encryption library for Node.js. An attacker may be able to exploit a vulnerability in versions prior to 6.0.1, 3.2.1, and 2.1.6 to bypass authentication or authorization mechanisms in systems that rely on xml-crypto for verifying signed XML documents. The vulnerability allows an attacker to modify a valid signed XML message in a way that still passes signature verification checks. For example, it could be used to alter critical identity or access control attributes, enabling an attacker with a valid account to escalate privileges or impersonate another user. Users of versions 6.0.0 and prior should upgrade to version 6.0.1 to receive a fix. Those who are still using v2.x or v3.x should upgrade to patched versions 2.1.6 or 3.2.1, respectively.

Gravité et risque d'exploitation

CVE-2025-29774 obtient un score CVSS de 9.3/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 9.10 %, ce qui la place devant 95.3 % des CVE référencées.

Que faire ?

  • Vérifiez si xml-crypto (versions >= 3.0.0, < 3.2.1, >= 4.0.0, < 6.0.1, < 2.1.6) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE