CVE-2026-82465 in pac4j-saml
Zusammenfassung
von VulDB • 29.08.2026
pac4j-saml vor Version 6.5.6 erfordert keine Signaturvalidierung von SAML-LogoutRequest-Nachrichten in `SAML2LogoutValidator.validateLogoutRequest()`. Wenn ein IdP keinen SessionIndex sendet, kann eine Sitzung ausschließlich auf Basis der NameID beendet werden, was einem nicht authentifizierten Angreifer ermöglicht, einen unsignierten LogoutRequest mit einer erratenen Kennung (z. B. einer als NameID verwendeten E-Mail-Adresse) zu übermitteln und so die SAML-Sitzung eines Opfers zu beenden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.