CVE-2026-123798

Nome do Software Vulnerável e Versões Afetadas SuperTokens Core versões 11.3.0 até 11.3.6 SuperTokens Core versões 11.4.0 até 11.4.6 SuperTokens Core versões 12.0.0 até 12.0.9

Description Existe um problema onde a função SAML.verifySamlResponseSignature chama OpenSAML SignatureValidator.validate sem antes aplicar o SAMLSignatureProfileValidator. Isso permite que o sistema aceite uma assinatura criptograficamente válida que referencia um elemento XML diferente da Resposta ou Asserção usada para autenticação. Um invasor pode mover um elemento assinado dentro do documento e fornecer um elemento de identidade malicioso, resultando em XML Signature Wrapping, o que permite a autenticação como outro usuário do provedor de identidade. Isso afeta os caminhos de assinatura em nível de resposta e de asserção, e permanece acessível durante o login iniciado pelo SP, mesmo que o allowIDPInitiatedLogin esteja desativado.

Recommendations Atualizar para a versão 11.3.7. Atualizar para a versão 11.4.7. Atualizar para a versão 12.0.10.