Moov signedxml 修复免认证拒绝服务漏洞

GitHub 安全公告指出，Go 库 github.com/moov-io/signedxml 的独占 XML 规范化（ExclusiveCanonicalization）在 ValidateReferences() 中、任何摘要或签名校验之前，会为每个节点复制整个累积命名空间映射，攻击者无需有效签名、匹配证书或认证即可触发拒绝服务。 公告称已确认 v1.4.0 及当前默认分支（commit d79064a）受影响，更早的 v1.2.x–v1.3.x 版本也可能受影响。修复方式是改为维护单一作用域，仅在每个元素处压入或弹出该元素引入的前缀，不再逐节点复制整个命名空间映射。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。