p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in simplesamlphp/saml2-legacy

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für simplesamlphp/saml2-legacy: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 4

  1. CVE-2026-49289

    Hoch · CVSS 7.5EPSS 0,78%Korrektur verfügbar

    SimpleSAMLphp SAML2: Possible DoS via XPath Transform

    The SimpleSAMLphp SAML2 library is a PHP library for SAML2 related functionality. In 4.19.2 and 4.20.2, the library permits attacker-controlled XPath transforms while processing XML signatures in specially crafted SAML messages. XPath evaluation can consume uncontrolled processing resources, allowing a remote unauthenticated attacker to deny service to any entity relying on SimpleSAMLphp or directly on the SAML2 library. The mitigation limits the number of transforms, permits only transform algorithms identified by the SAML 2.0 Core specification, and specifically rejects XPath transforms. This issue is fixed in versions 4.19.3 and 4.20.3.

    simplesamlphp/saml2-legacy simplesamlphp/saml2-legacyPHP
    • Auf 4.19.3 aktualisieren
    • Auf 4.20.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-49283

    Hoch · CVSS 8.7EPSS 0,47%Korrektur verfügbar

    SimpleSAMLphp HTTP-Artifact TLS validator confusion allows cross-IdP authentication bypass

    The SimpleSAMLphp SAML2 library is a PHP library for SAML2 related functionality. Prior to versions 4.19.3, 4.20.2, 5.0.6, and 6.2.1, the HTTPArtifact::receive() flow can treat an unsigned embedded SAML Response as cryptographically valid for the wrong identity provider. SOAPClient::addSSLValidator() attaches a TLS-based validator to the outer SOAP ArtifactResponse, while the embedded Response receives a validator that delegates to the outer message and is later checked against metadata selected from the embedded response issuer rather than necessarily the artifact issuer. SOAPClient::validateSSL() returns normally when the TLS public key doe

    simplesamlphp/saml2-legacy simplesamlphp/saml2-legacyPHP
    • Auf 4.19.3 aktualisieren
    • Auf 4.20.2 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2025-27773

    Hoch · CVSS 8.6EPSS 0,41%Korrektur verfügbar

    SimpleSAMLphp SAML2 library has incorrect signature verification for HTTP-Redirect binding

    The SimpleSAMLphp SAML2 library is a PHP library for SAML2 related functionality. Prior to versions 4.17.0 and 5.0.0-alpha.20, there is a signature confusion attack in the HTTPRedirect binding. An attacker with any signed SAMLResponse via the HTTP-Redirect binding can cause the application to accept an unsigned message. Versions 4.17.0 and 5.0.0-alpha.20 contain a fix for the issue.

    simplesamlphp/saml2-legacyPHP
    • Auf 4.17.0 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2024-52806

    Hoch · CVSS 8.3EPSS 0,43%Korrektur verfügbar

    SimpleSAMLphp SAML2 has an XXE in parsing SAML messages

    SimpleSAMLphp SAML2 library is a PHP library for SAML2 related functionality. When loading an (untrusted) XML document, for example the SAMLResponse, it's possible to induce an XXE. This vulnerability is fixed in 4.6.14 and 5.0.0-alpha.18.

    simplesamlphp/saml2-legacyPHP
    • Auf 4.6.14 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →