CVE-2026-82465
Orta
Açıklama
6.5.6 sürümünden önceki pac4j-saml, SAML2LogoutValidator.validateLogoutRequest() fonksiyonunda SAML LogoutRequest mesajlarının imza doğrulamasını gerektirmemektedir. Bir IdP tarafından SessionIndex gönderilmediğinde, bir oturum yalnızca NameID baz alınarak sonlandırılabilir; bu durum, kimliği doğrulanmamış bir saldırganın tahmin edilen bir tanımlayıcıyla (örneğin NameID olarak kullanılan bir e-posta adresi) imzalanmamış bir LogoutRequest göndererek kurbanın SAML oturumunu sonlandırmasına olanak tanır.
ÖnemOrta
CVSS5.3
İstismar olasılığı—
ÜrünPac4j
Yayın29 Ağu 2026
İlk görülme29 Ağu 2026
Zayıflık türüCWE-345CWE-345
Nasıl düzeltilir
Güncelleyin
- pac4j pac4j6.5.6 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pac4j pac4j | v < 6.5.6 | 6.5.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.