Tóm tắt nhanh
- CVE-2022-39300 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng node saml (node saml project), node-saml.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.78%, cao hơn 56.0% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 4.0.0, 4.0.0-beta.5 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| node saml | = 4.0.0< 4.0.0
| 4.0.0
|
| node-saml npm | < 4.0.0-beta.5
| 4.0.0-beta.5
|
Mô tả
Impact
A remote attacker may be able to bypass SAML authentication on a website using passport-saml. A successful attack requires that the attacker is in possession of an arbitrary IDP signed XML element. Depending on the IDP used, fully unauthenticated attacks (e.g without access to a valid user) might also be feasible if generation of a signed message can be triggered.
Patches
Users should upgrade to node-saml v4.0.0-beta5 or newer.
Workarounds
Disable SAML authentication.
References
Are there any links users can visit to find out more?
For more information
If you have any questions or comments about this advisory:
Credits
- Felix Wilhelm of Google Project Zero
Mô tả của NVD
node SAML is a SAML 2.0 library based on the SAML implementation of passport-saml. A remote attacker may be able to bypass SAML authentication on a website using passport-saml. A successful attack requires that the attacker is in possession of an arbitrary IDP signed XML element. Depending on the IDP used, fully unauthenticated attacks (e.g without access to a valid user) might also be feasible if generation of a signed message can be triggered. Users should upgrade to node-saml version 4.0.0-beta5 or newer. Disabling SAML authentication may be done as a workaround.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí