XML-DSig проверяет то, на что указывает URI в Reference, обычно элемент с заданным ID; приложение же часто находит «утверждение» по другому правилу, например берёт первый дочерний элемент Assertion. Атакующие оборачивают подлинное подписанное утверждение в расширение или переносят его в другое место, а туда, где его ищет приложение, добавляют неподписанное утверждение. Соморовски и его коллеги в 2012 году показали, что уязвимо большинство проверенных ими SAML-фреймворков, и новые варианты атаки появляются до сих пор.
Защита: обрабатывайте только те узлы, которые прошли проверку (пусть их возвращает сам код проверки), отклоняйте документы с повторяющимися ID или неожиданной структурой с помощью строгой проверки по схеме, требуйте, чтобы подпись охватывала весь ответ или всё утверждение, и используйте поддерживаемые библиотеки SAML. Форматы на основе JSON избавлены именно от этого класса атак, потому что подпись охватывает фиксированные байты, хотя у них есть свои ловушки.