CVE-2022-23505 in passport-wsfed-saml2
Riassunto
di VulDB • 06/07/2026
Passport-wsfed-saml2 è un provider di autenticazione per Passport basato sul protocollo ws-federation e sui token SAML2. Nelle versioni precedenti alla 4.6.3, un attaccante remoto potrebbe essere in grado di eludere l'autenticazione WSFed su un sito web che utilizza passport-wsfed-saml2. Un attacco riuscito richiede che l'attaccante sia in possesso di una asserzione firmata da un IDP (Identity Provider) arbitrario. A seconda dell'IDP utilizzato, potrebbero essere fattibili anche attacchi completamente non autenticati (ad esempio senza accesso a un utente valido), se è possibile innescare la generazione di un messaggio firmato. Questo problema è stato risolto nella versione 4.6.3. L'utilizzo dell'autenticazione SAML2 anziché WSFed costituisce una soluzione alternativa (workaround).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.