PT-2025-19969
CVE-2025-46572
·
تاريخ النشر
2025-05-06
·
تاريخ التحديث
2025-10-16
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
passport-wsfed-saml2 الإصدارات من 3.0.5 إلى 4.6.3
الوصف
تسمح ثغرة أمنية في passport-wsfed-saml2 للمهاجم بالانتحال صفة أي مستخدم في مستأجر Auth0 أثناء المصادقة عبر SAML، من خلال تزوير استجابة SAMLResponse. ويمكن القيام بذلك باستخدام كائن SAML صالح تم توقيعه من قبل مزود الهوية (IdP) المُكوّن. يتأثر المستخدمون بشكل خاص عندما يستخدم مزود الخدمة برنامج passport-wsfed-saml2 ويمكن الحصول على مستند SAML صالح موقّع من قبل مزود الهوية.
التوصيات
بالنسبة للإصدارات من 3.0.5 إلى 4.6.3، قم بالتحديث إلى الإصدار 4.6.4 لحل المشكلة. كحل بديل مؤقت، ضع في اعتبارك تقييد الوصول إلى المصادقة عبر SAML حتى يتم تطبيق التحديث. تجنب استخدام كائن
SAMLResponse في مسار المصادقة المتأثر حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾