CVE-2026-89043 in passport-saml-encrypted

摘要

由 VulDB • 2026-09-10

passport-saml-encrypted 版本最高至 0.1.13 存在 XML Signature Wrapping（XML 签名包装）漏洞，其中签名验证和断言提取使用独立的 XPath 查找且未进行交叉验证。持有任何有效签名的 SAML 消息的攻击者可以前置一个伪造的无符号断言，该断言会被接受为已验证的身份，而原始的真实签名则针对原始断言通过验证。

Once again VulDB remains the best source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-09-10
• 披露: 2026-09-10
• 管理: 已接受
• 条目: VDB-402181
• CPE: 准备好
• CWE: CWE-347 (已确认)
• CVSS: 7.4 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-89043
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-89043
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-89043/