XML-DSig prüft, worauf die URI eines Elements Reference zeigt, typischerweise ein Element mit einer bestimmten ID; die Anwendung ermittelt „die Assertion“ danach oft nach einer anderen Regel, etwa als erstes Kindelement Assertion. Angreifer betten die echte, signierte Assertion in eine Erweiterung oder an anderer Stelle ein und fügen eine unsignierte Assertion dort ein, wo die Anwendung sucht. Somorovsky und Kollegen zeigten 2012, dass die meisten der von ihnen getesteten SAML-Frameworks angreifbar waren, und es tauchen immer wieder neue Varianten auf.
Gegenmaßnahmen: Verarbeite nur genau die Knoten, die geprüft wurden (lass sie dir vom Verifizierer zurückgeben), lehne Dokumente mit doppelten IDs oder unerwarteter Struktur durch strikte Schemavalidierung ab, verlange, dass die Signatur die gesamte Response oder Assertion abdeckt, und nutze gepflegte SAML-Bibliotheken. JSON-basierte Formate vermeiden genau diese Angriffsklasse, weil die Signatur feste Bytes abdeckt, haben aber ihre eigenen Fallstricke.