CVE-2026-14917

Nome do Software Vulnerável e Versões Afetadas Kong SAML plugin (versões afetadas não especificadas)

Description Existe uma falha de bypass de autenticação no plugin Kong SAML quando a opção validate assertion signature é explicitamente definida como false. Nesta configuração, o plugin pode extrair a identidade SAML de uma asserção não assinada e autenticar o usuário sem verificar uma assinatura criptográfica válida. Isso permite que um invasor remoto não autenticado envie uma resposta SAML manipulada para personificar usuários arbitrários, incluindo administradores.

Recommendations Certifique-se de que a opção validate assertion signature esteja habilitada para manter a verificação de assinatura criptográfica. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.