CVE-2026-89042: Login-omgåelse i passport-saml-encrypted

Sårbarheden (CVE-2026-89042) findes i npm-biblioteket passport-saml-encrypted, som bruges til at bygge login med SAML, en standard hvor en identitetsudbyder sender et digitalt underskrevet svar til jeres system som bevis for, hvem brugeren er. Fejlen betyder, at biblioteket kun kontrollerer denne underskrift, hvis en bestemt valgfri indstilling (cert) er sat korrekt op. Er den ikke det, accepterer systemet også svar, der slet ikke er underskrevet. En angriber kan derfor selv lave et falsk SAML-svar med et frit valgt brugernavn og frit valgte rettigheder, sende det direkte til login-endpointet og blive logget ind som den bruger, uden kodeord og uden adgang til den rigtige identitetsudbyder.

Det rammer virksomheder og udviklere, der selv har integreret login med npm-biblioteket passport-saml-encrypted i version 0,1,13 eller ældre. I praksis er det typisk skræddersyede kundeportaler, interne systemer eller mindre SaaS-løsninger, hvor en dansk virksomhed eller et it-bureau har koblet SAML-login til en identitetsudbyder som Azure AD, ADFS eller WAYF. Standard hyldevare-systemer, der ikke bruger netop dette bibliotek, er ikke berørt.

Kender en angriber adressen på jeres login-endpoint, kan de sende et forfalsket SAML-svar og logge ind som en vilkårlig bruger, for eksempel en administrator, uden kodeord. Det kan give fuld adgang til den brugers data og funktioner, herunder personoplysninger, økonomisystemer eller administrationsmoduler. Systemet går ikke ned af det, men risikoen for uautoriseret dataadgang, identitetsmisbrug og efterfølgende GDPR-relevante hændelser er høj.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen adgangskode og ingen handling fra en bruger, og det kan udføres over almindeligt netværk med lav kompleksitet. Der er pr. offentliggørelsen ingen offentlig meddelelse om, at fejlen er udnyttet i praksis, men den er let at afprøve for en angriber, der kender endpointet.

Sådan lukker I hullet og begrænser risikoen:

1. Undersøg om jeres eget eller jeres leverandørs system bruger passport-saml-encrypted, og find versionen i package.json eller package-lock.json.
2. Er biblioteket i brug, sørg for at signaturkontrol af SAML-svar er tvunget slået til i konfigurationen, ikke afhængig af en valgfri indstilling. Overvej at skifte til et aktivt vedligeholdt SAML-bibliotek, hvis I ikke kan garantere det.
3. Gennemgå login-logs for uforklarlige logins, især med administratorrettigheder, siden biblioteket kom i produktion.
4. Indfør eller skærp multifaktorgodkendelse på kritiske konti som ekstra beskyttelse uanset SAML-svarets signatur.
5. Har I ikke selv adgang til kildekoden eller kan vurdere konfigurationen, kontakt jeres udviklingsleverandør og bed om skriftlig dokumentation for, at signaturkontrol er obligatorisk.