CVE-2020-5301

Las versiones SimpleSAMLphp en versiones anteriores a la 1.18.6 contienen una vulnerabilidad de divulgación de información. El controlador de módulos en `SimpleSAML\Module` que procesa las peticiones de páginas alojadas por módulos, tiene código para identificar las rutas que terminan en `.php` y procesarlas como código PHP. Si no existe otra forma adecuada de manejar la ruta dada, presenta el archivo al navegador. La comprobación para identificar los caminos que terminan en `.php` no tiene en cuenta las mayúsculas. Si alguien solicita un camino que termina por ejemplo con `.PHP` y el servidor está sirviendo el código de un sistema de archivos que no distingue entre mayúsculas y minúsculas, como en Windows, el procesamiento del código PHP no ocurre, y el código fuente se presenta en su lugar al navegador. Un atacante puede utilizar este problema para obtener acceso al código fuente en módulos de terceros que se supone que son privados, o incluso sensibles. Sin embargo, se considera que la superficie de ataque es pequeña, ya que el ataque sólo funcionará cuando SimpleSAMLphp sirva ese contenido desde un sistema de archivos que no distinga entre mayúsculas y minúsculas, como en Windows. Este problema está corregido en la versión 1.18.6.