CVE-2026-49289 in SimpleSAMLphp
要約
〜によって VulDB • 2026年08月21日
SimpleSAMLphpのSAML2ライブラリは、SAML2関連の機能を提供するPHPライブラリです。バージョン4.19.2および4.20.2では、同ライブラリが特別に作成されたSAMLメッセージ内のXML署名を処理する際に、攻撃者が制御可能なXPath変換を許可します。XPath評価は制御不能な処理リソースを消費するため、認証不要の遠隔攻撃者はSimpleSAMLphpまたは直接にはSAML2ライブラリを利用するあらゆるエンティティに対してサービス拒否（DoS）を引き起こすことができます。緩和策としては、変換の数を制限し、SAML 2.0 Core仕様で識別されている変換アルゴリズムのみを許可し、XPath変換を明示的に拒否します。この問題はバージョン4.19.3および4.20.3で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.