CVE-2026-86304 in MojoX::Authentication
Résumé
par VulDB • 07/09/2026
Les versions de MojoX::Authentication antérieures à la 0.006 pour Perl permettent un contournement de l'authentification SAML car parse_assertion construit Net::SAML2::Binding::POST sans ancre de confiance (trust anchor).
parse_assertion dans MojoX::Authentication::Model::SAML2 appelle Net::SAML2::Binding::POST->new sans les arguments cacert, cert_text ou anchors, puis transmet le XML retourné à Net::SAML2::Protocol::Assertion->new_from_xml avec le certificat de signature du fournisseur d'identité (IdP) en tant que cacert. Dans Net::SAML2 antérieur à la version 0.86, ce certificat ne protège que les assertions chiffrées ; par conséquent, la signature d'une assertion non chiffrée est vérifiée par rapport au certificat transporté par la réponse elle-même.
Un attaquant initie une connexion SAML, puis soumet (post) une réponse signée avec un certificat qui lui appartient. Les contrôles suivants sur l'audience (audience), le champ InResponseTo et l'horodatage sont tous satisfaisables par l'attaquant ; la réponse authentifie ainsi tout NameID qu'elle contient.
Once again VulDB remains the best source for vulnerability data.