There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - github.com/crewjam/saml is a saml library for the go language. In affected versions the package does not
    validate the ACS Location URI according to the SAML binding being parsed. If abused, this flaw allows
    attackers to register malicious Service Providers at the IdP and inject Javascript in the ACS endpoint
    definition, achieving Cross-Site-Scripting (XSS) in the IdP context during the redirection at the end of a
    SAML SSO Flow. Consequently, an attacker may perform any authenticated action as the victim once the
    victim’s browser loaded the SAML IdP initiated SSO link for the malicious service provider. Note: SP
    registration is commonly an unrestricted operation in IdPs, hence not requiring particular permissions or
    publicly accessible to ease the IdP interoperability. This issue is fixed in version 0.4.14. Users unable
    to upgrade may perform external validation of URLs provided in SAML metadata, or restrict the ability for
    end-users to upload arbitrary metadata. (CVE-2023-45683)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - github.com/crewjam/saml 是适用于 go 语言的 saml 库。在受影响的版本中程序包不会根据正在解析的 SAML 绑定来验证 ACS 位置 URI。如果遭到滥用此缺陷允许攻击者在 IdP 中注册恶意服务提供商并向 ACS 端点定义注入 Javascript从而在 SAML SSO 流末尾的重定向期间在 IdP 上下文中实现跨站脚本 (XSS)。因此，一旦受害者的浏览器为恶意服务提供商加载了 SAML IdP 发起的 SSO 链接，攻击者就可能以受害者的身份执行任何经身份验证的操作。注意：SP 注册通常是 IdP 中的不受限制操作，因此不需要特定的权限，也不需要可公开访问权限来缓解 IdP 的互操作性。此问题已在 0.4.14 版本中修复。无法升级的用户可能会对 SAML 元数据中提供的 URL 进行外部验证，或者限制最终用户上传任意元数据的能力。 (CVE-2023-45683)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - github.com/crewjam/saml 是 go 語言的 saml 程式庫。在受影響的版本中該套件不會根據要剖析的 SAML 系結驗證 ACS 位置 URI。若遭到濫用此瑕疵會允許攻擊者在 IdP 註冊惡意的服務提供者並在 ACS 端點定義中插入 Javascript在 SAML SSO 流程結尾處重新導向期間於 IdP 內容中造成跨網站指令碼 (XSS)。因此一旦受害者的瀏覽器為惡意服務提供者載入 SAML IdP 起始的 SSO 連結攻擊者便可能以受害者身分執行任何經驗證的動作。注意SP 註冊在 IdP 中通常是不受限制的作業因此不需要特定權限或可公開存取即可輕鬆實現 IdP 互通性。0.4.14 版已修正此問題。無法升級的使用者可以對 SAML 詮釋資料中提供的 URL 執行外部驗證或限制終端使用者上傳任意詮釋資料的能力。 (CVE-2023-45683)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - github.com/crewjam/saml は go 言語の saml ライブラリです。影響を受けるバージョンでは、パッケージは、解析されている SAML バインディングに従って ACS ロケーション URI を検証しません。この欠陥により、攻撃者が悪意のあるサービスプロバイダーを IdP で登録し、ACS エンドポイント定義で Javascript を注入することで、SAML SSO フローの終了時のリダイレクト中に IdP コンテキストでクロスサイトスクリプティングXSSを実現することができます。その結果、被害者のブラウザが悪意のあるサービスプロバイダー用の SAML IdP 開始 SSO リンクをロードすると、攻撃者は被害者として認証されたアクションを実行する可能性があります。注意: SP 登録は通常、IdP で制限のない操作であるため、IdP の相互運用性を緩和するために特定の権限や一般公開を必要としません。この問題はバージョン 0.4.14 で修正されています。をアップグレードできないユーザーは、SAMLメタデータで提供されたURLの外部検証を実行したり、エンドユーザーが任意のメタデータをアップロードする機能を制限したりする可能性があります。CVE-2023-45683

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - github.com/crewjam/saml is a saml library for the go language. In affected versions the package does not     validate the ACS Location URI according to the SAML binding being parsed. If abused, this flaw allows     attackers to register malicious Service Providers at the IdP and inject Javascript in the ACS endpoint     definition, achieving Cross-Site-Scripting (XSS) in the IdP context during the redirection at the end of a     SAML SSO Flow. Consequently, an attacker may perform any authenticated action as the victim once the     victim's browser loaded the SAML IdP initiated SSO link for the malicious service provider. Note: SP     registration is commonly an unrestricted operation in IdPs, hence not requiring particular permissions or     publicly accessible to ease the IdP interoperability. This issue is fixed in version 0.4.14. Users unable     to upgrade may perform external validation of URLs provided in SAML metadata, or restrict the ability for     end-users to upload arbitrary metadata. (CVE-2023-45683)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
408727	SCA: security update for github.com/crewjam/saml (GHSA-267v-3v32-g6q5)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
408727	SCA: security update for github.com/crewjam/saml (GHSA-267v-3v32-g6q5)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
260954	Linux Distros 未修补的漏洞：CVE-2023-45683	Nessus	Misc.	2025/9/3	2026/8/6	medium
260954	Linux Distros 未修補的弱點：CVE-2023-45683	Nessus	Misc.	2025/9/3	2026/8/6	medium
260954	Linux Distros のパッチ未適用の脆弱性: CVE-2023-45683	Nessus	Misc.	2025/9/3	2026/8/6	medium
260954	Linux Distros Unpatched Vulnerability : CVE-2023-45683	Nessus	Misc.	2025/9/3	2026/8/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium