CVE-2020-5226 in SimpleSAMLphp
Сводка
по VulDB • 22.08.2026
Межсайтовый скриптинг (XSS) в SimpleSAMLphp до версии 1.18.4. Скрипт www/errorreport.php позволяет отправлять отчеты об ошибках и направлять их системному администратору. Начиная с версии SimpleSAMLphp 1.18.0, был введен новый класс SimpleSAML\Utils\EMail для отправки электронных писем, реализованный как оболочка внешней зависимости. Этот новый интерфейс позволяет использовать шаблоны Twig для создания электронного письма, отправляемого вместе с отчетом об ошибке. Поскольку Twig обеспечивает автоматическое экранирование переменных, ручное экранирование поля свободного текста в www/errorreport.php было удалено во избежание двойного экранирования. Однако для тех, кто еще не использует новый пользовательский интерфейс, шаблон электронной почты жестко закодирован непосредственно в классе на чистом PHP. Поскольку в этом шаблоне отсутствует экранирование, становится возможным внедрение HTML-кода внутрь шаблона путем ручной подстановки содержимого поля свободного текста.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.