CVE-2026-87946

Nome do Software Vulnerável e Versões Afetadas Drupal SAML SSO - Service Provider versões 0.0.0 a 3.2.0

Description O módulo permite que um site Drupal funcione como um Provedor de Serviço SAML 2.0 para autenticação via provedor de identidade externo. Ele utiliza construções criptográficas que não estão alinhadas com as melhores práticas de segurança. Especificamente, o módulo realiza certas comparações de assinatura usando lógica de comparação de tempo não constante, o que cria uma discrepância de tempo observável que pode permitir ataques de força bruta. Além disso, gera identificadores de requisição SAML usando valores previsíveis derivados de geração de números aleatórios não criptográficos. Essas fraquezas podem reduzir a margem de segurança dos fluxos de autenticação SAML.

Recommendations Atualize o Drupal SAML SSO - Service Provider para uma versão posterior à 3.2.0.