CVE-2025-46572

Kritik

Açıklama

passport-wsfed-saml2, hem WS-fed hem de SAML2 protokolleri için passport stratejisi sağlar. Versiyon 3.0.5'ten başlayıp versiyon 4.6.3 dahil olmak üzere mevcut olan bir güvenlik açığı, saldırganın özel olarak hazırlanmış bir SAMLResponse aracılığıyla SAML kimlik doğrulaması sırasında herhangi bir kullanıcıyı taklit etmesine olanak tanır. Bu işlem, yapılandırılmış IdP tarafından imzalanmış geçerli bir SAML nesnesi kullanılarak gerçekleştirilebilir. Kullanıcılar, özellikle hizmet sağlayıcının passport-wsfed-saml2 kullandığı ve Kimlik Sağlayıcı tarafından imzalanmış geçerli bir SAML belgesinin elde edilebildiği durumlarda etkilenir. Versiyon 4.6.4, bu güvenlik açığı için bir düzeltme içermektedir.

ÖnemKritik

CVSS9.3

İstismar olasılığı—

ÜrünPassport-wsfed-saml2

Yayın6 May 2025

İlk görülme6 May 2025

Zayıflık türüCWE-287Hatalı kimlik doğrulama

Nasıl düzeltilir

Güncelleyin

passport-wsfed-saml24.6.4 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
passport-wsfed-saml2npm	3.0.5 ≤ v < 4.6.4	4.6.4

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.