PT-2025-30730 · Node-Saml · Node-Saml

CVE-2025-54369 · Publicado 2025-07-24 · Atualizado 2025-12-15

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Node-SAML (versões afetadas não especificadas)

Descrição O Node-SAML é suscetível a uma falha na qual carrega a asserção a partir do documento de resposta original não assinado, diferentemente do processo de verificação de assinatura. Isso permite a modificação de detalhes de autenticação dentro de uma asserção SAML válida, como a remoção de caracteres do nome de usuário. Um atacante necessita de um documento validamente assinado do provedor de identidade (IdP) para realizar este ataque.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Authentication

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-287

CWE-87

CWE-347

Identificadores relacionados

CVE-2025-54369

GHSA-M837-G268-MMV7

Produtos afetados

Node-Saml

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/54xxx/CVE-2025-54369.json · Exploit
• https://github.com/node-saml/node-saml/security/advisories/GHSA-m837-g268-mmv7 · Nota
• https://github.com/node-saml/node-saml/commit/31ead9411ebc3e2385086fa9149b6c17732bca10 · Nota
• https://github.com/node-saml/node-saml/releases/tag/v5.1.0 · Nota
• https://github.com/node-saml/node-saml · Nota
• https://twitter.com/VulmonFeeds/status/1948536695088918602 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1949649707203989822 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-m837-g268-mmv7 · Aviso do Fabricante
• https://twitter.com/Komodosec/status/1962696870507225343 · Publicação no Twitter
• https://t.me/pentestingnews/65239 · Publicação no Telegram
• https://twitter.com/fridaysecurity/status/1949624216459919449 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-54369 · Aviso do Fabricante
• https://t.me/cveNotify/145791 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-54369 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/1999621633149943928 · Publicação no Twitter