PT-2026-140953
CVE-2026-123798
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SuperTokens Core الإصدارات من 11.3.0 إلى 11.3.6
SuperTokens Core الإصدارات من 11.4.0 إلى 11.4.6
SuperTokens Core الإصدارات من 12.0.0 إلى 12.0.9
Description
توجد مشكلة حيث تقوم الدالة
SAML.verifySamlResponseSignature باستدعاء OpenSAML SignatureValidator.validate دون تطبيق SAMLSignatureProfileValidator أولاً. يسمح هذا للنظام بقبول توقيع صالح تشفيرياً يشير إلى عنصر XML مختلف عن الاستجابة أو التأكيد المستخدم للمصادقة. يمكن للمهاجم نقل عنصر موقع داخل المستند وتقديم عنصر هوية خبيث، مما يؤدي إلى حدوث XML Signature Wrapping، وهو ما يسمح بالمصادقة كمستخدم آخر لمزود الهوية. يؤثر هذا على مسارات التوقيع على مستوى الاستجابة ومستوى التأكيد، ويظل الوصول ممكناً أثناء تسجيل الدخول الذي يبدأه مزود الخدمة (SP) حتى لو تم تعطيل allowIDPInitiatedLogin.Recommendations
التحديث إلى الإصدار 11.3.7.
التحديث إلى الإصدار 11.4.7.
التحديث إلى الإصدار 12.0.10.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾