CVE-2023-40178
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Node-SAML to biblioteka SAML, która nie jest zależna od żadnych frameworków i działa w Node. Brak weryfikacji aktualnego znacznika czasu pozwala na wielokrotne użycie LogoutRequest XML, nawet gdy aktualny czas przekracza NotOnOrAfter.
Ocena ryzyka
Może to prowadzić do sytuacji, w której użytkownik zostanie wylogowany na podstawie przestarzałego LogoutRequest. W większych kontekstach, masowe wysyłanie LogoutRequests do różnych SP może wpłynąć na wielu użytkowników na dużą skalę.
Rekomendacja
Zaleca się aktualizację do wersji 4.0.5, w której problem został naprawiony.
Oryginalny opis (angielski, źródło NVD)
Node-SAML is a SAML library not dependent on any frameworks that runs in Node. The lack of checking of current timestamp allows a LogoutRequest XML to be reused multiple times even when the current time is past the NotOnOrAfter. This could impact the user where they would be logged out from an expired LogoutRequest. In bigger contexts, if LogoutRequests are sent out in mass to different SPs, this could impact many users on a large scale. This issue was patched in version 4.0.5.