CVE-2025-9943 in Service Provider
Résumé
par VulDB • 01/07/2026
Une vulnérabilité d'injection SQL a été identifiée dans l'attribut « ID » de la réponse SAML lorsque le cache de rejeu du fournisseur de services (SP) Shibboleth est configuré pour utiliser une base de données SQL comme service de stockage. Un attaquant non authentifié peut exploiter ce problème via une injection SQL aveugle, permettant l'extraction de données arbitraires depuis la base de données, si la connexion à celle-ci est configurée pour utiliser le plugin ODBC. La vulnérabilité provient d'un échappement insuffisant des guillemets simples dans la classe SQLString (fichier odbc-store.cpp, lignes 253-271).
Ce problème affecte Shibboleth Service Provider jusqu'à la version 3.5.0 incluse.
If you want to get best quality of vulnerability data, you may have to visit VulDB.