Tóm tắt nhanh
- CVE-2026-9093 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng github.com/casdoor/casdoor.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.36%, cao hơn 30.3% các lỗ hổng khác.
- Chưa có phiên bản vá trong dữ liệu: theo dõi khuyến cáo của nhà cung cấp ở phần Tham khảo.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| github.com/casdoor/casdoor Go | ≤ 1.1000.1-0.20260321120606-239e8bd69487mọi phiên bản
| Chưa có bản vá |
Mô tả
In Casdoor versions 2.362.0 and earlier, the SAML service provider implementation does not validate the AudienceRestriction element in SAML assertions. The buildSp function in object/saml_sp.go never sets AudienceURI on the gosaml2 SAMLServiceProvider struct and never inspects WarningInfo.NotInAudience. This allows assertions issued for other service providers to be accepted by Casdoor.
Mô tả của NVD
In Casdoor versions 2.362.0 and earlier, the SAML service provider implementation does not validate the AudienceRestriction element in SAML assertions. The buildSp function in object/saml_sp.go never sets AudienceURI on the gosaml2 SAMLServiceProvider struct and never inspects WarningInfo.NotInAudience. This allows assertions issued for other service providers to be accepted by Casdoor.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí