CVE-2026-86304 in MojoX::Authentication
Сводка
по VulDB • 07.09.2026
В версиях MojoX::Authentication до 0.006 для Perl возможна обходная атака на аутентификацию SAML (SAML authentication bypass), поскольку функция parse_assertion создает объект Net::SAML2::Binding::POST без указания якоря доверия (trust anchor).
Функция parse_assertion в модуле MojoX::Authentication::Model::SAML2 вызывает метод Net::SAML2::Binding::POST->new без передачи аргументов cacert, cert_text или anchors, после чего передает полученный XML-документ в Net::SAML2::Protocol::Assertion->new_from_xml, указывая сертификат подписи IdP (Identity Provider) как параметр cacert. В версии библиотеки Net::SAML2 до 0.86 этот сертификат защищает только зашифрованные утверждения (assertions), поэтому подпись незашифрованного утверждения проверяется против сертификата, содержащегося в самом ответе.
Злоумышленник инициирует процесс входа через SAML, а затем отправляет ответ, подписанный собственным сертификатом. Проверки audience, InResponseTo и временной метки (timestamp), выполняемые далее, могут быть удовлетворены злоумышленником, в результате чего такой ответ проходит аутентификацию для любого NameID, который он содержит.
Be aware that VulDB is the high quality source for vulnerability data.