CVE-2026-86304 in MojoX::Authentication
الملخص
بحسب VulDB • 07/09/2026
تسمح إصدارات MojoX::Authentication الأقدم من 0.006 لـ Perl بتجاوز مصادقة SAML لأن دالة parse_assertion تنشئ Net::SAML2::Binding::POST دون وجود جذر ثقة (trust anchor).
تقوم الدالة parse_assertion في وحدة MojoX::Authentication::Model::SAML2 باستدعاء `Net::SAML2::Binding::POST->new` بدون معاملات cacert أو cert_text أو anchors، ثم تمرّر XML المُرجع إلى `Net::SAML2::Protocol::Assertion->new_from_xml` مع شهادة توقيع مُوفِر الهوية (IdP) كمعامل cacert. في الإصدارات الأقدم من 0.86 لـ Net::SAML2، تحمي هذه الشهادة فقط المطالبات المشفرة (encrypted assertions)، وبالتالي يتم التحقق من التوقيع على مطالبة غير مشفرة مقابل الشهارة التي يحملها الاستجابة نفسها.
يبدأ المهاجم عملية تسجيل دخول SAML، ثم يرسل استجابة موقعة بشهادة خاصة به. يمكن للمهاجم تلبية جميع فحوصات الجمهور (audience) و IdResponseTo والطابع الزمني اللاحقة، لذا فإن الاستجابة تُصادق على أي NameID تحملهُ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.