CVE-2020-26290
Publiée le 2020-12-28 · Dernière modification le 2026-06-17
Les installations de Dex utilisant le connecteur SAML sont vulnérables à un contournement de signature causé par un encodage XML incorrect. Un attaquant distant non authentifié pourrait potentiellement usurper des identités pour obtenir un accès de haut niveau à votre système, à condition de pouvoir inciter un utilisateur à cliquer sur un lien malveillant. Comme cette faille ne nécessite aucun privilège particulier et présente une faible complexité, elle constitue un risque élevé pour les fournisseurs d'identité exposés.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
Dex is a federated OpenID Connect provider written in Go. In Dex before version 2.27.0 there is a critical set of vulnerabilities which impacts users leveraging the SAML connector. The vulnerabilities enables potential signature bypass due to issues with XML encoding in the underlying Go library. The vulnerabilities have been addressed in version 2.27.0 by using the xml-roundtrip-validator from Mattermost (see related references).