يمكن لنشر مرخص مع عميل SAML مهيأ أن يقوم بمصادقة هوية من تأكيد لم يجتز فحص الجمهور. عندما يستخدم مزود الهوية التوقيع على مستوى التأكيد، يمكن للمهاجم الذي يمتلك تأكيدًا موقعًا من IdP لا يزال ساري المفعول يحدد الضحية لأي جمهور، وتأكيدًا صالحًا خاصًا به للجمهور المستهدف، أن يجمعهما لأن الدالة `validateSamlResponseAudience` تقبل جمهورًا من تأكيد واحد بينما تأخذ الدالة `extractAllClaims` معرف الاسم (NameID) النهائي والسمات من تأكيد آخر. وبشكل مستقل، يمكن للتأكيد الصادر من مزود هوية مهيأ للنشر المستهدف ولكن تم إصداره لنشر SuperTokens آخر يستخدم `saml sp entity id` الافتراضي المشترك أن يجتاز فحص الجمهور الخاص بالهدف. تؤدي الاستغلال الناجح إلى مصادقة المهاجم كمستخدم IdP الضحية.