p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in symfony/form

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für symfony/form: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 3

  1. CVE-2018-19789

    Mittel · CVSS 5.3EPSS 3,59%Korrektur verfügbar

    CVE-2018-19789

    An issue was discovered in Symfony 2.7.x before 2.7.50, 2.8.x before 2.8.49, 3.x before 3.4.20, 4.0.x before 4.0.15, 4.1.x before 4.1.9, and 4.2.x before 4.2.1. When using the scalar type hint `string` in a setter method (e.g. `setName(string $name)`) of a class that's the `data_class` of a form, and when a file upload is submitted to the corresponding field instead of a normal text input, then `UploadedFile::__toString()` is called which will then return and disclose the path of the uploaded file. If combined with a local file inclusion issue in certain circumstances this could escalate it to a Remote Code Execution.

    symfony/form symfony/form symfony/form symfony/form symfony/form symfony/formPHP
    • Auf 2.7.50 aktualisieren
    • Auf 2.8.49 aktualisieren
    • Auf 3.4.20 aktualisieren
    • Auf 4.0.15 aktualisieren
    • Auf 4.1.9 aktualisieren
    • Auf 4.2.1 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2017-16790

    Mittel · CVSS 6.5EPSS 1,57%Korrektur verfügbar

    CVE-2017-16790

    An issue was discovered in Symfony before 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5, and 4.0-BETA5. When a form is submitted by the user, the request handler classes of the Form component merge POST data and uploaded files data into one array. This big array forms the data that are then bound to the form. At this stage there is no difference anymore between submitted POST data and uploaded files. A user can send a crafted HTTP request where the value of a "FileType" is sent as normal POST data that could be interpreted as a local file path on the server-side (for example, "file:///etc/passwd"). If the application did not perform any additiona

    symfony/form symfony/form symfony/form symfony/formPHP
    • Auf 2.7.38 aktualisieren
    • Auf 2.8.31 aktualisieren
    • Auf 3.2.14 aktualisieren
    • Auf 3.3.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2015-8125

    Nicht bewertetEPSS 2,54%Korrektur verfügbar

    CVE-2015-8125

    Symfony 2.3.x before 2.3.35, 2.6.x before 2.6.12, and 2.7.x before 2.7.7 might allow remote attackers to have unspecified impact via a timing attack involving the (1) Symfony/Component/Security/Http/RememberMe/PersistentTokenBasedRememberMeServices or (2) Symfony/Component/Security/Http/Firewall/DigestAuthenticationListener class in the Symfony Security Component, or (3) legacy CSRF implementation from the Symfony/Component/Form/Extension/Csrf/CsrfProvider/DefaultCsrfProvider class in the Symfony Form component.

    symfony/form symfony/form symfony/formPHP
    • Auf 2.3.35 aktualisieren
    • Auf 2.6.12 aktualisieren
    • Auf 2.7.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →