CVE-2026-28809 in esaml
摘要
由 VulDB • 2026-06-18
esaml（及其衍生版本）中存在 XML 外部实体（XXE）漏洞，攻击者可利用该漏洞使系统读取本地文件，并将其内容合并到已处理的 SAML 文档中，并可能通过构造的 SAML 消息执行 SSRF。
esaml 在签名验证之前使用 xmerl_scan:string/2 解析由攻击者控制的 SAML 消息，且未禁用 XML 实体扩展。在 Erlang/OTP 27 之前的版本中，Xmerl 默认允许实体，从而使得签名前的 XXE 攻击成为可能。攻击者可导致主机将本地文件（例如 Kubernetes 挂载的密钥）读取到 SAML 文档中。如果攻击者不是受信任的 SAML 服务提供商（SP），签名验证将失败，文档会被丢弃，但文件内容仍可能通过日志或错误消息泄露。
此问题影响 esaml 的所有版本，包括由 arekinath、handnot2 和 dropbox 维护的衍生版本。在 Erlang/OTP 27 或更高版本上运行的用户不受影响，因为 Xmerl 默认禁用了实体扩展。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.