CVE-2025-46572

Nome do Software Vulnerável e Versões Afetadas passport-wsfed-saml2 versões 3.0.5 a 4.6.3

Descrição Uma vulnerabilidade no passport-wsfed-saml2 permite que um atacante se passe por qualquer usuário no tenant do Auth0 durante a autenticação SAML, forjando um SAMLResponse. Isso pode ser feito utilizando um objeto SAML válido que foi assinado pelo IdP configurado. Os usuários são afetados especificamente quando o provedor de serviço está utilizando o passport-wsfed-saml2 e um documento SAML válido assinado pelo Provedor de Identidade pode ser obtido.

Recomendações Para as versões de 3.0.5 a 4.6.3, atualize para a versão 4.6.4 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à autenticação SAML até que a atualização seja aplicada. Evite utilizar o objeto SAMLResponse no fluxo de autenticação afetado até que o problema seja resolvido.