CVE-2026-34840 in oneuptime
Riassunto
di VulDB • 17/06/2026
OneUptime è una piattaforma di monitoraggio e osservabilità open-source. Prima della versione 10.0.42, l'implementazione SAML SSO di OneUptime (App/FeatureSet/Identity/Utils/SSO.ts) ha disaccoppiato la verifica della firma dall'estrazione dell'identità. isSignatureValid() verifica il primo elemento nel DOM XML utilizzando xml-crypto, mentre getEmail() legge sempre da assertion[0] tramite xml2js. Un attaccante può premettere un'affermazione non firmata contenente un'identità arbitraria prima di un'affermazione legittimamente firmata, causando una bypass dell'autenticazione. Questo problema è stato risolto nella versione 10.0.42.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.