CVE-2026-82465 in pac4j-saml

الملخص

بحسب VulDB • 29/08/2026

لا يتطلب pac4j-saml قبل الإصدار 6.5.6 التحقق من صحة التوقيع لرسائل SAML LogoutRequest في دالة `SAML2LogoutValidator.validateLogoutRequest()`. عندما لا يرسل IdP أي SessionIndex، يمكن تدمير الجلسة بناءً على NameID فقط، مما يتيح لمهاجم غير مُصادق عليه إرسال طلب تسجيل خروج (LogoutRequest) غير موقع مع معرف مُتوقع (مثل عنوان بريد إلكتروني يُستخدم كـ NameID) لإنهاء جلسة SAML الخاصة بالضحية.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: VulnCheck
• حجز: 29/08/2026
• إفشاء: 29/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-397042
• CPE: جاهز
• CWE: CWE-345 (مؤكد)
• CVSS: 5.3 (CNA)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-82465
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-82465
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-82465/