CVE-2026-9098
KrytyczneCVSS 9.1Streszczenie
W wersjach Casdoor 2.362.0 i wcześniejszych, handler callback SAML w pliku controllers/auth.go akceptuje dowolne poprawnie sformułowane SAMLResponse wysłane do /api/acs, nie weryfikując, czy odpowiada ono wcześniej wydanemu AuthnRequest przez Casdoor. Dodatkowo, jeśli administrator wyłączy lub usunie IdP po rozpoczęciu przepływu SAML, handler nadal przetwarza odpowiedź, używając zrzutu dostawcy załadowanego na początku żądania.
Ocena ryzyka
W wyniku tego, atakujący kontrolujący zarejestrowany upstream IdP może wysyłać niezamówione odpowiedzi SAML lub powtarzać prawidłowo przechwyconą odpowiedź w innej sesji, co prowadzi do trwałego nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację Casdoor do najnowszej wersji, aby zapewnić odpowiednią weryfikację SAMLResponse oraz ograniczyć możliwość nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
In Casdoor versions 2.362.0 and earlier, the SAML callback handler in controllers/auth.go accepts any well-formed SAMLResponse sent to /api/acs without verifying that it corresponds to an AuthnRequest previously issued by Casdoor. Additionally, if an administrator disables or deletes an IdP (Identity Provider) after a SAML flow has started, the handler still processes the response using the provider snapshot loaded at the start of the request. As a result, an attacker controlling a registered upstream IdP can send unsolicited SAML responses, or replay a legitimately captured response in a different session or after the original flow has ended. In both cases, Casdoor accepts the response and issues a session, enabling persistent unauthorized access.