Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2025-54419

Node-SAML Contains SAML Signature Verification Vulnerability

Публикация: 28.07.2025·Обновлена: 08.08.2025, 17:53·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A SAML library not dependent on any frameworks that runs in Node. In version 5.0.1, Node-SAML loads the assertion from the (unsigned) original response document. This is different than the parts that are verified when checking signature. This allows an attacker to modify authentication details within a valid SAML assertion. For example, in one attack it is possible to remove any character from the SAML assertion username. To conduct the attack an attacker would need a validly signed document from the identity provider (IdP). This is fixed in version 5.1.0.

Что это значит

Проверка личности пользователя может работать неверно. Проверьте затронутый механизм входа и доступные ему ресурсы.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

node-saml / node-saml 

{
  "status": "affected",
  "version": "= 5.0.1"
}

@node-saml/node-saml npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.1.0"
}

passport-saml npm

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "3.2.4"
}

@node-saml/passport-saml npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.1.0"
}

CVSS: оценки и векторы

CVSS 3.1 · cve10
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьнет

Классы CWE

CWE-287 · Некорректная аутентификацияCWE-347 · Неправильная проверка криптографической подписи

Источники и ссылки

Материал · github.com · cveМатериал · github.com · cveМатериал · github.com · cveМатериал · nvd.nist.gov · osvМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:10:35.719912+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.436521+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.436521+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.436521+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:10:35.719912+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T15:53:51.436521+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:10
  2. Данные обновлены03.11.2026, 00:09
  3. Данные обновлены02.11.2026, 15:13
  4. Данные обновлены02.11.2026, 00:08
  5. Данные обновлены31.10.2026, 11:56
  6. Данные обновлены30.10.2026, 14:52
  7. Данные обновлены29.10.2026, 11:01
  8. Опубликована28.10.2026, 18:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2025-54369
Node-SAML SAML Authentication Bypass
node-saml / node-saml · node-saml
Критический9.3
0,55 %
13.12.2025
CVE-2023-40178
@node-saml/node-saml's validatePostRequestAsync does not include checkTimestampsValidityError
@node-saml/node-saml
Информационный—
0,49 %
21.08.2023
CVE-2022-39299
Signature bypass via multiple root elements
passport-saml · node-saml
Информационный—
4,49 %
13.10.2022
CVE-2025-54419: Node-SAML Contains SAML Signature Verification Vulnerability · CVE Радар