p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in symfony/security-bundle

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für symfony/security-bundle: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 5

  1. CVE-2024-50341

    Niedrig · CVSS 3.1EPSS 0,31%Korrektur verfügbar

    Security::login does not take into account custom user_checker in symfony/security-bundle

    symfony/security-bundle is a module for the Symphony PHP framework which provides a tight integration of the Security component into the Symfony full-stack framework. The custom `user_checker` defined on a firewall is not called when Login Programmaticaly with the `Security::login` method, leading to unwanted login. As of versions 6.4.10, 7.0.10 and 7.1.3 the `Security::login` method now ensure to call the configured `user_checker`. All users are advised to upgrade. There are no known workarounds for this vulnerability.

    symfony/security-bundle symfony/security-bundle symfony/security-bundlePHP
    • Auf 6.4.10 aktualisieren
    • Auf 7.0.10 aktualisieren
    • Auf 7.1.3 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2022-24895

    Mittel · CVSS 6.3EPSS 0,79%Korrektur verfügbar

    Symfony vulnerable to Session Fixation of CSRF tokens

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. When authenticating users Symfony by default regenerates the session ID upon login, but preserves the rest of session attributes. Because this does not clear CSRF tokens upon login, this might enables same-site attackers to bypass the CSRF protection mechanism by performing an attack similar to a session-fixation. This issue has been fixed in the 4.4 branch.

    symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundlePHP
    • Auf 4.4.50 aktualisieren
    • Auf 5.4.20 aktualisieren
    • Auf 6.0.20 aktualisieren
    • Auf 6.1.12 aktualisieren
    • Auf 6.2.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2021-41268

    Mittel · CVSS 6.5EPSS 1,32%Korrektur verfügbar

    Cookie persistence in Symfony

    Symfony/SecurityBundle is the security system for Symfony, a PHP framework for web and console applications and a set of reusable PHP components. Since the rework of the Remember me cookie in version 5.3.0, the cookie is not invalidated when the user changes their password. Attackers can therefore maintain their access to the account even if the password is changed as long as they have had the chance to login once and get a valid remember me cookie. Starting with version 5.3.12, Symfony makes the password part of the signature by default. In that way, when the password changes, then the cookie is not valid anymore.

    symfony/security-bundlePHP
    • Auf 5.3.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2018-11408

    Mittel · CVSS 6.1EPSS 1,12%Korrektur verfügbar

    CVE-2018-11408

    The security handlers in the Security component in Symfony in 2.7.x before 2.7.48, 2.8.x before 2.8.41, 3.3.x before 3.3.17, 3.4.x before 3.4.11, and 4.0.x before 4.0.11 have an Open redirect vulnerability when security.http_utils is inlined by a container. NOTE: this issue exists because of an incomplete fix for CVE-2017-16652.

    symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundlePHP
    • Auf 2.7.48 aktualisieren
    • Auf 2.8.41 aktualisieren
    • Auf 3.3.17 aktualisieren
    • Auf 3.4.11 aktualisieren
    • Auf 4.0.11 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2018-11406

    Hoch · CVSS 8.8EPSS 0,75%Korrektur verfügbar

    CVE-2018-11406

    An issue was discovered in the Security component in Symfony 2.7.x before 2.7.48, 2.8.x before 2.8.41, 3.3.x before 3.3.17, 3.4.x before 3.4.11, and 4.0.x before 4.0.11. By default, a user's session is invalidated when the user is logged out. This behavior can be disabled through the invalidate_session option. In this case, CSRF tokens were not erased during logout which allowed for CSRF token fixation.

    symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundle symfony/security-bundlePHP
    • Auf 2.7.48 aktualisieren
    • Auf 2.8.41 aktualisieren
    • Auf 3.3.17 aktualisieren
    • Auf 3.4.11 aktualisieren
    • Auf 4.0.11 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →