CVE-2026-49289

Yüksek

Açıklama

SimpleSAMLphp SAML2 kütüphanesi, SAML2 ile ilgili işlevler için kullanılan bir PHP kütüphanesidir. 4.19.2 ve 4.20.2 sürümlerinde kütüphane, özel olarak hazırlanmış SAML mesajlarındaki XML imzalarını işlerken saldırgan tarafından kontrol edilen XPath dönüşümlerine izin vermektedir. XPath değerlendirmesi, kontrolsüz işlem kaynakları tüketebilir ve bu durum, kimliği doğrulanmamış uzak bir saldırganın SimpleSAMLphp'ye veya doğrudan SAML2 kütüphanesine güvenen herhangi bir varlığa karşı hizmet reddi (DoS) gerçekleştirmesine olanak tanır. Alınan önlem; dönüşüm sayısını sınırlar, yalnızca SAML 2.0 Core spesifikasyonu tarafından tanımlanan dönüşüm algoritmalarına izin verir ve özellikle XPath dönüşümlerini reddeder. Bu sorun 4.19.3 ve 4.20.3 sürümlerinde düzeltilmiştir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünSimplesamlphp/saml2

Yayın19 Ağu 2026

İlk görülme19 Ağu 2026

Zayıflık türüCWE-400Denetimsiz kaynak tüketimi

Nasıl düzeltilir

Güncelleyin

simplesamlphp/saml24.20.3, 4.19.3 ya da sonraki bir sürüm
simplesamlphp/saml2-legacy4.20.3, 4.19.3 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
simplesamlphp/saml2Packagist	4.20.0 ≤ v < 4.20.3, v < 4.19.3	4.20.3, 4.19.3
simplesamlphp/saml2-legacyPackagist	4.20.0 ≤ v < 4.20.3, v < 4.19.3	4.20.3, 4.19.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.