CVE-2026-41670
Açıklama
Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. Versiyon 5.0.9 öncesinde, Admidio'nun SSO modülündeki SAML IdP uygulaması, gelen SAML AuthnRequest mesajlarındaki AssertionConsumerServiceURL değerini, ilgili servis sağlayıcı istemcisi için veritabanında kayıtlı olan ACS URL (smc_acs_url) ile doğrulamadan doğrudan SAML yanıtının hedefi olarak kullanmaktadır. Kayıtlı bir SP istemcisinin Entity ID bilgisini bilen bir saldırgan, rastgele bir AssertionConsumerServiceURL içeren bir SAML AuthnRequest oluşturarak; kullanıcı kimlik özniteliklerini (giriş adı, e-posta, roller, profil alanları) içeren imzalı SAML yanıtının saldırgan tarafından kontrol edilen bir URL'ye gönderilmesine neden olabilir. Bu sorun versiyon 5.0.9 ile düzeltilmiştir.
Nasıl düzeltilir
- admidio/admidio5.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| admidio/admidioPackagist | v < 5.0.9 | 5.0.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.