CVE-2026-54782

Nome do Software Vulnerável e Versões Afetadas CoreWCF versões anteriores a 1.8.1 CoreWCF versões anteriores a 1.9.1

Description A validação de tokens SAML 1.1 e SAML 2.0 não resolve corretamente a chave de assinatura do emissor nem exige tokens assinados quando o IdentityConfiguration é utilizado com bindings federados. Isso ocorre quando o serviço é hospedado com WSFederationHttpBinding ou WS2007FederationHttpBinding, ou qualquer binding que acione o FederatedSecurityTokenManager para a validação de tokens emitidos, e o UseIdentityConfiguration esteja definido como true. Um invasor remoto não autenticado que conheça o certificado público do Security Token Service (STS) confiável pode personificar qualquer principal que o STS confiável possa emitir, incluindo principais administrativos.

Recommendations Atualize o CoreWCF para a versão 1.8.1. Atualize o CoreWCF para a versão 1.9.1.