omniauth-saml has dependency on ruby-saml version with Signature Wrapping Attack issue

緊急GHSA-hw46-3hmr-x9xv · 12/03/2025 公開 · 04/02/2026 更新

要点

GHSA-hw46-3hmr-x9xv は omniauth-saml に影響する深刻度「緊急」の脆弱性です。
対処：2.1.3, 2.2.3, 1.10.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
omniauth-saml RubyGems	`≥ 2.0.0, < 2.1.3≥ 2.2.0, < 2.2.3< 1.10.6`	`2.1.32.2.31.10.6`

概要

Summary

There are 2 new Critical Signature Wrapping Vulnerabilities (CVE-2025-25292, CVE-2025-25291) and a potential DDOS Moderated Vulneratiblity (CVE-2025-25293) affecting ruby-saml, a dependency of omniauth-saml.

The fix will be applied to ruby-saml and released 12 March 2025, under version 1.18.0.

Please upgrade the ruby-saml requirement to v1.18.0.

Impact

Signature Wrapping Vulnerabilities allows an attacker to impersonate a user.

参考情報

omniauth/omniauth-saml security advisory · WEB
omniauth/omniauth-saml commit 0d5eaa0 · WEB
omniauth/omniauth-saml commit 2c8a482 · WEB
omniauth/omniauth-saml commit 7a348b4 · WEB
omniauth/omniauth-saml · PACKAGE
omniauth/omniauth-saml · WEB
rubysec/ruby-advisory-db · WEB
rubygems.org/gems/omniauth-saml/versions/2.2.3 · WEB

omniauth-saml のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン