crewjam/saml vulnerable to signature bypass via multiple Assertion elements due to improper authentication

NGHIÊM TRỌNG 9.8CVE-2022-41912 · GHSA-j2jp-wvqg-wc2g · GO-2022-1129 · Công bố 28/11/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-41912 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng github.com/crewjam/saml, saml (saml project).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.3%, cao hơn 83.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.4.9 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/crewjam/saml Go	`< 0.4.9`	`0.4.9`
saml saml_project	`< 0.4.9`	`0.4.9`

Mô tả

Impact

The crewjam/saml go library is vulnerable to an authentication bypass when processing SAML responses containing multiple Assertion elements.

Patches

This issue has been corrected in version 0.4.9.

Credit

This issue was reported by Felix Wilhelm from Google Project Zero.

Mô tả của NVD

The crewjam/saml go library prior to version 0.4.9 is vulnerable to an authentication bypass when processing SAML responses containing multiple Assertion elements. This issue has been corrected in version 0.4.9. There are no workarounds other than upgrading to a fixed version.