Unlimited transforms allowed for signed nodes
Impact
A malicious SAML payload can require transforms that consume significant system resources to process, thereby resulting in reduced or denied service. This would be an effective way to perform a denial-of-service attack.
Patches
This has been resolved in version 3.1.0. The resolution is to limit the number of allowable transforms to 2.
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | passport-saml | < 3.1.0 | 3.1.0 |
Odnośniki
- https://github.com/node-saml/passport-saml/security/advisories/GHSA-5379-r78w-42h2
- https://nvd.nist.gov/vuln/detail/CVE-2021-39171
- https://github.com/node-saml/passport-saml/pull/595
- https://github.com/node-saml/passport-saml/commit/f1e00b64c21a725f545e675cd810bbaa435a3972
- https://github.com/node-saml/passport-saml
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- Słabość (CWE)
CWE-400- Platforma
- npm
- Paczka
passport-saml- Ujawniono
- 30.08.2021
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-5379-r78w-42h2 - CC BY 4.0
Historia podatności: passport-saml
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 08.2021 07.2025
- Bez poprawki
- 1
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2021: 1
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 1
- 2026: 0
-
Unlimited transforms allowed for signed nodes ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.