PT-2026-44422 · Casdoor · Casdoor

David Lie + 4 · CVE-2026-9093 · Publicado 2026-05-28 · Atualizado 2026-07-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Casdoor versões anteriores a 2.362.1

Descrição A implementação do provedor de serviço SAML não valida o elemento AudienceRestriction em asserções SAML. Isso ocorre porque a função buildSp() em object/saml sp.go não define o AudienceURI na estrutura SAMLServiceProvider do gosaml2 e ignora o WarningInfo.NotInAudience. Consequentemente, o sistema pode aceitar asserções destinadas a outros provedores de serviço.

Recomendações Atualize o Casdoor para a versão 2.362.1 ou posterior.

Correção

Identificadores relacionados

CVE-2026-9093

GHSA-3W4H-G9F5-J84P

GO-2026-5894

OPENSUSE-SU-2026:21483-1

Produtos afetados

Casdoor

Referências · 1741

• https://github.com/casdoor/casdoor · Nota
• https://suse.com/security/cve/CVE-2025-65797 · Nota
• https://suse.com/security/cve/CVE-2026-44427 · Nota
• https://suse.com/security/cve/CVE-2026-27589 · Nota
• https://suse.com/security/cve/CVE-2026-7736 · Nota
• https://suse.com/security/cve/CVE-2026-27137 · Nota
• https://suse.com/security/cve/CVE-2026-25232 · Nota
• https://suse.com/security/cve/CVE-2026-55513 · Nota
• https://suse.com/security/cve/CVE-2026-20736 · Nota
• https://suse.com/security/cve/CVE-2026-32828 · Nota
• https://suse.com/security/cve/CVE-2026-44323 · Nota
• https://suse.com/security/cve/CVE-2026-50551 · Nota
• https://suse.com/security/cve/CVE-2026-45709 · Nota
• https://suse.com/security/cve/CVE-2026-54174 · Nota
• https://suse.com/security/cve/CVE-2025-71261 · Nota