CVE-2025-47949

Atak Signature Wrapping polega na manipulacji strukturą dokumentu XML zawierającego odpowiedź SAML — atakujący nie musi łamać podpisu kryptograficznego, lecz wykorzystuje błąd w jego weryfikacji (CWE-347: Improper Verification of Cryptographic Signature). Wystarczy, że atakujący dysponuje jakimkolwiek prawidłowo podpisanym dokumentem XML wystawionym przez dostawcę tożsamości (Identity Provider). Manipulując strukturą XML, atakujący może podłożyć sfałszowane twierdzenia (assertions) zawierające dowolną tożsamość użytkownika, podczas gdy biblioteka błędnie uznaje podpis za ważny.

Atakujący może uwierzytelnić się jako dowolny użytkownik w systemie — w tym jako administrator — bez znajomości hasła ani innych danych uwierzytelniających, co prowadzi do pełnego przejęcia kont i nieautoryzowanego dostępu do chronionych zasobów.

Należy niezwłocznie zaktualizować bibliotekę samlify do wersji 2.10.0, która zawiera poprawkę eliminującą podatność. Szczegóły dostępne w repozytorium GitHub projektu oraz w oficjalnym security advisory (GHSA-r683-v43c-6xqv).

Aplikacje Node.js wykorzystujące bibliotekę samlify w wersjach wcześniejszych niż 2.10.0.

Atak wymaga posiadania przez atakującego przynajmniej jednego prawidłowo podpisanego dokumentu XML od dostawcy tożsamości — nie jest to całkowicie bezwarunkowy dostęp, jednak stanowi niski próg wejścia w wielu środowiskach federacyjnych.