CVE-2026-89043

Description

passport-saml-encrypted through 0.1.13 contains an XML signature wrapping vulnerability where signature verification and assertion extraction use independent XPath lookups with no cross-validation. Attackers holding any validly signed SAML message can prepend a forged unsigned assertion that gets accepted as the verified identity while the genuine signature validates against the original assertion.

Gravité et risque d'exploitation

CVE-2026-89043 obtient un score CVSS de 9.1/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.31 %, ce qui la place devant 22.3 % des CVE référencées.

Que faire ?

• Vérifiez si passport-saml-encrypted (versions <=0.1.13, 0) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://github.com/krakenjs/passport-saml-encrypted/issues/30
• https://github.com/krakenjs/passport-saml-encrypted/blob/v0.1.13/lib/saml.js#L256
• https://github.com/krakenjs/passport-saml-encrypted/blob/v0.1.13/lib/saml.js#L328
• https://github.com/krakenjs/passport-saml-encrypted
• https://www.vulncheck.com/advisories/passport-saml-encrypted-through-0.1.13-xml-signature-wrapping-via-assertion-prepending