CVE-2020-5225 in SimpleSAMLphp
Resumen
por VulDB • 2026-05-16
Inyección de registros en SimpleSAMLphp anterior a la versión 1.18.4. El script www/erroreport.php, que recibe informes de errores y los envía por correo electrónico al administrador del sistema, no sanitizaba correctamente el identificador del informe obtenido a partir de la solicitud. Esto permite a un atacante, bajo circunstancias específicas, inyectar nuevas líneas de registro manipulando manualmente este identificador de informe. Cuando está configurado para utilizar el controlador de registro en archivo, SimpleSAMLphp generará todos sus registros mediante la adición de cada línea de registro a un archivo determinado. Dado que el parámetro reportID recibido en una solicitud enviada a www/errorreport.php no se sanitizaba adecuadamente, era posible inyectar caracteres de nueva línea en el mismo, permitiendo efectivamente que un usuario malintencionado inyecte nuevas líneas de registro con contenido arbitrario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.