PT-2026-67393
CVE-2026-18089
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Net::SAML2 الأقدم من 0.86
الوصف
يوجد ثغرة في عملية المصادقة عند عدم تكوين مرساة ثقة. تسمح الدالة
verify xml الموجودة في Net::SAML2::Role::VerifyXML بالتحقق من صحة الردود مقابل الشهادة المضمنة في الرد نفسه. يحدث هذا لأن النظام يستخدم شهادة X.509 من عنصر dsig:KeyInfo/dsig:X509Certificate في الرد. وبالتالي، إذا تم إنشاء Binding::POST بدون cacert أو إذا تم استدعاء Assertion->new from xml بدون الوسيطات cacert أو cert text أو anchors، فقد يقبل النظام استجابة موقعة بمفتاح أنشأه المهاجم، مما يسمح بالمصادقة على تأكيدات عشوائية.التوصيات
قم بالتحديث إلى الإصدار 0.86 أو أحدث.
كإجراء تخفيفي مؤقت، تأكد من توفير الحجج
cacert أو cert text أو anchors بشكل صريح عند إنشاء Binding::POST أو استدعاء Assertion->new from xml لتجنب الاعتماد على الشهادات المضمنة في الاستجابة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾