Vulnerabilidad de autenticación en el módulo SAML de Siemens Mendix

Siemens ha publicado actualizaciones para sus módulos SAML de Mendix en respuesta a la identificación de una vulnerabilidad de omisión de autenticación, registrada como CVE-2026-89209. Este fallo, clasificado con una severidad MEDIA según el sistema CVSS v3.1 (puntuación base de 6.8), podría permitir a un atacante remoto no autenticado obtener acceso no autorizado a las aplicaciones al reutilizar aserciones SAML válidas en flujos de autenticación iniciados por el proveedor de identidad (IdP).

La vulnerabilidad afecta a diversas versiones de los módulos SAML de Mendix:
* Mendix SAML (compatible con Mendix 10) en versiones anteriores a la 4.2.4.
* Mendix SAML (compatible con Mendix 11) en versiones anteriores a la 4.2.4.
* Mendix SAML (compatible con Mendix 9) en versiones anteriores a la 3.6.29.

Según un aviso de CISA, la debilidad específica (CWE-294) se centra en la protección inadecuada contra la repetición de aserciones SAML. Para mitigar el riesgo, Siemens recomienda actualizar los módulos afectados a las versiones 4.2.4 o posteriores para las compatibilidades con Mendix 10 y 11, y a la versión 3.6.29 o posterior para la compatibilidad con Mendix 9. Una alternativa de mitigación inmediata es deshabilitar la autenticación única (SSO) iniciada por IdP.

Aunque la vulnerabilidad tiene una severidad media, los módulos SAML de Mendix se emplean en sectores de infraestructura crítica como la manufactura y la tecnología de la información, con despliegue a nivel global. Siemens ProductCERT reportó esta vulnerabilidad a CISA.