Die Schwachstelle betrifft die quelloffene Identitätsplattform authentik in ihrer Rolle als SAML-Dienstanbieter, wenn eine eingehende SAML-Quelle mit einem der nicht standardmäßigen Abgleichsmodi über Benutzername oder E-Mail-Adresse konfiguriert ist. Ursache ist eine unterschiedliche Auswertung von XML-Kommentaren: Während der Identitätsanbieter die signierte Aussage als Ganzes betrachtet und die Signatur gültig bleibt, berücksichtigt authentik beim Auslesen des NameID nur den Text vor dem eingefügten Kommentar. Ein Angreifer, der bereits ein Konto beim Identitätsanbieter besitzt und dort den NameID selbst festlegen kann, formt diesen Wert so, dass er nach dem Abschneiden exakt dem Benutzernamen oder der E-Mail-Adresse eines Opfers entspricht. Dadurch wird seine externe Identität dauerhaft mit dem bestehenden Konto des Opfers verknüpft. Er übernimmt das fremde Konto vollständig, ohne dessen Passwort oder den privaten Schlüssel des Identitätsanbieters zu kennen; die schadhafte Verknüpfung bleibt bestehen, sodass auch spätere Anmeldungen ohne Manipulation gelingen. Quellen mit dem voreingestellten Abgleich über eine eindeutige Kennung sowie die Rolle als ausgehender SAML-Provider sind nicht betroffen.