待验证50% 置信事实精确时间
攻击者可以构造一份 XML，使签名验证器读取用户 A 的数据而身份提取器读取用户 B（通常是管理员）的身份，从而在签名合法的情况下绕过系统
1
来源数
50%
置信度
长期有效
时效性
2026/10/14
首次发现
来源
涉及实体
相关事实
待验证攻击者只需获得远程主机上代理套接字文件的读写权限，即可向本地代理发送任意签名请求，对拥有 root 权限或共享主机的恶意用户尤为容易实施75% 相似待验证XML 签名允许对文档的某个子集进行签名，验证方需要判断哪一部分被签名了74% 相似待验证XML签名包装攻击的根本原因在于XML文档在XPath语义下的节点引用与实际处理路径之间存在歧义，攻击者可注入伪造断言节点使签名验证通过但实际生效的身份被篡改72% 相似待验证账号接管（ATO）不同于数据泄露，它让攻击者获得受害者账号的完整控制权，包括读取私密数据、以受害者身份发布内容、修改密码、甚至横向渗透受害者在该平台关联的其他服务。71% 相似待验证账号会话凭证（Token）是用户登录成功后服务器颁发给浏览器的加密字符串，用于证明访问者已通过身份验证71% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1032377API
curl https://kongchang.com/api/v1/knowledge/claims/1032377MCP
get_claim(id=1032377)