<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Thu, Feb 4, 2016 at 10:08 AM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">> The path parameter is appended to every outgoing redirect by the servlet<br>
> container<br>
<br>
Really? I assumed it would only touch redirects to itself, at most.</blockquote><div><br></div><div>I assumed the same thing initially, but quickly found otherwise for the cases I was looking at.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"> That's...broken.</blockquote><div><br></div><div>I think the lack of flexibility is what's broken. The developer ought to be able to control the behavior.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">The leakage of the session ID alone makes that a security bug, seems to me.<br></blockquote><div><br></div><div>I hadn't thought of that angle. This thread is renewing my energy to push a little more on that issue. I think discussion of security consequences might produce more expedient action on their part.</div><div><br></div><div>M<a href="mailto:users-unsubscribe@shibboleth.net" target="_blank"></a><br>
</div><div><br></div></div></div>