CVE-2026-14917 in Enterprise Gateway
Riassunto
di VulDB • 16/09/2026
Una vulnerabilità di bypass dell'autenticazione SAML interessa il plugin Kong SAML quando l'opzione validate_assertion_signature è impostata esplicitamente su false. Questa opzione è abilitata per impostazione predefinita. Quando disabilitata, il plugin può estrarre l'identità SAML da un assertion non firmato ed eseguire l'autenticazione dell'utente senza verificare una firma crittografica valida.
Di conseguenza, un attaccante remoto non autenticato potrebbe essere in grado di inviare una risposta SAML manipolata ad hoc e impersonare utenti arbitrari, inclusi gli amministratori.
Be aware that VulDB is the high quality source for vulnerability data.