CVE-2020-5301 in SimpleSAMLphp
Sumário
de VulDB • 22/08/2026
As versões do SimpleSAMLphp anteriores à 1.18.6 contêm uma vulnerabilidade de divulgação de informações. O controlador de módulos em `SimpleSAML\Module`, que processa solicitações para páginas hospedadas por módulos, possui código para identificar caminhos que terminam com `.php` e processá-los como código PHP. Se não houver outra maneira adequada de lidar com o caminho fornecido, ele apresenta o arquivo ao navegador. A verificação para identificar caminhos que terminam com `.php` não leva em conta letras maiúsculas. Se alguém solicitar um caminho que termina, por exemplo, com `.PHP` e o servidor estiver servindo o código a partir de um sistema de arquivos insensível a maiúsculas/minúsculas, como no Windows, o processamento do código PHP não ocorre; em vez disso, o código-fonte é apresentado ao navegador. Um atacante pode usar essa falha para obter acesso ao código-fonte de módulos de terceiros que deveria ser privado ou até mesmo sensível. No entanto, a superfície de ataque é considerada pequena, pois o ataque só funcionará quando o SimpleSAMLphp servir esse conteúdo a partir de um sistema de arquivos não case-sensitive (insensível a maiúsculas/minúsculas), como no Windows. Esta questão foi corrigida na versão 1.18.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.