Версии Casdoor 2.362.0 и более ранние подвержены критическим уязвимостям в управлении идентификацией и доступом. Эти уязвимости позволяют обходить аутентификацию и повышать привилегии. Несколько CVE описывают недостатки в обработке SAML в Casdoor, связанные с обработкой сертификатов, проверкой утверждений и защитой от повторного воспроизведения. Поток привязки к социальной сети позволяет обходить требования MFA, а привязка к неподтвержденной электронной почте может привести к захвату учетной записи. Механизмы обмена токенами содержат недостатки, позволяющие повышать привилегии между организациями и отсутствие отзыва токенов. Злоумышленники могут использовать эти недостатки для выдачи себя за пользователей, обхода MFA и получения постоянного несанкционированного доступа. Уязвимости возникают из-за таких проблем, как использование произвольных сертификатов, отсутствие ограничений аудитории и отсутствие защиты от повторного воспроизведения утверждений SAML. Временные рамки в утверждениях SAML не соблюдаются, что еще больше увеличивает риск. Платформа не проверяет активный статус токенов, используемых для обмена. Обработчик обратного вызова SAML принимает незапрошенные ответы SAML, что приводит к перехвату сеанса. Воздействие значительное, потенциально позволяющее злоумышленникам компрометировать учетные записи и повышать привилегии. В настоящее время исправление от Casdoor недоступно; поэтому пользователи должны реализовать строгую защиту идентификации.