Podatności Symfony

Funkcja attemptAuthentication w Symfony przed wersją 2.3.41, 2.7.13, 2.8.6 oraz 3.0.6 nie ogranicza długości nazwy użytkownika przechowywanej w sesji. To umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez serię prób uwierzytelnienia z długimi, nieistniejącymi nazwami użytkownika.

Funkcja nextBytes w klasie SecureRandom w Symfony przed wersją 2.3.37, 2.6.x przed 2.6.13 oraz 2.7.x przed 2.7.9 nie generuje poprawnie liczb losowych, gdy jest używana z PHP 5.x bez biblioteki paragonie/random_compat, a funkcja openssl_random_pseudo_bytes zawodzi.

Symfony w wersjach 2.0.x przed 2.0.22, 2.1.x przed 2.1.7 oraz 2.2.x jest podatny na zdalne ataki, które umożliwiają wykonanie dowolnego kodu PHP poprzez zserializowany obiekt PHP w funkcjach Yaml::parse lub Yaml\Parser::parse.

Funkcja Yaml::parse w Symfony 2.0.x przed wersją 2.0.22 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez plik PHP, co stanowi inną podatność niż CVE-2013-1397.

Podatność w Symfony umożliwia atakującemu manipulację zmiennymi środowiskowymi APP_ENV i APP_DEBUG poprzez spreparowany ciąg zapytania, który omija mechanizm ochrony wprowadzony w CVE-2024-50340. Problem wynika z rozbieżności między funkcją parse_str() a web SAPI, co pozwala na przekazanie kontrolowanych flag --env lub --no-debug do skryptu.

W Symfony do wersji 6.4.40, 7.4.12 i 8.0.12, w komponencie OidcTokenHandler, metoda verifyClaims() rejestrowała sprawdzanie aud, iss i exp, ale nie przekazywała obowiązkowej listy roszczeń do ClaimCheckerManager::check(). Umożliwiało to pominięcie weryfikacji tych kluczowych roszczeń w poprawnie podpisanym JWT.

Podatność w Symfony X509Authenticator pozwala atakującemu z zaufanym certyfikatem na podszycie się pod ofiarę poprzez umieszczenie emailAddress= w innej wartości RDN, np. CN, z powodu niezabezpieczonego wyrażenia regularnego.

Symfony w wersjach przed 2.8.6 oraz 3.x przed 3.0.6 umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez logowanie się z pustym hasłem i poprawną nazwą użytkownika, co prowadzi do nieautoryzowanego połączenia.

Podatność w Symfony (wersje przed 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23, 8.x przed 8.1.11) pozwala obejść uwierzytelnianie w X509Authenticator i X509AuthenticationListener. Atakujący posiadający certyfikat z zaufanego CA może wpłynąć na CN i uwierzytelnić się jako dowolny użytkownik, w tym uprzywilejowany. Wynika to z niepełnej poprawki CVE-2026-45063 — wyrażenie regularne nie uwzględnia znaków ucieczki w serializowanym DN.

Podatność w Symfony pozwala atakującemu na manipulację ścieżkami URL poprzez kontrolowane parametry trasy. Funkcja UrlGenerator::doGenerate() używa kodowania segmentów kropkowych strtr(), które pomija co drugi segment ../ lub ./ w łańcuchu, co umożliwia generowanie adresów URL, które po normalizacji RFC 3986 wskazują na inną ścieżkę.

W Symfony, frameworku PHP, od wersji 6.1.0 do 6.4.41, 7.4.13 i 8.0.13, funkcja UrlAttributeSanitizer::getSupportedAttributes() nie uwzględniała atrybutów URL w elementach <object>, <applet>, <iframe> i <img>, a adresy URL w <meta http-equiv="refresh"> omijały sanityzację. Umożliwia to wstrzyknięcie javascript: i podobnych ładunków do oczyszczonego wyjścia. Problem naprawiono w wersjach 6.4.41, 7.4.13 i 8.0.13.

Podatność w Symfony pozwala na obejście sanityzacji URL przez zakodowane procentowo znaki formatowania BiDi, co umożliwia wstrzykiwanie znaków podszywania się wizualnego. Problem dotyczy wersji od 6.1.0 do 6.4.41, 7.4.13 i 8.0.13.

Podatność w Symfony umożliwia atakującemu obniżenie poziomu algorytmu podpisu webhooka Mailomat z SHA-256 na słabszy, poprzez manipulację nagłówkiem X-MOM-Webhook-Signature. Problem występuje w metodzie MailomatRequestParser::validateSignature() przed wersjami 7.4.13 i 8.0.13.

Podatność w Symfony dotyczy klas NoPrivateNetworkHttpClient i IpUtils::PRIVATE_SUBNETS, które nie uwzględniały prefiksów przejściowych IPv6 (takich jak 6to4, NAT64, Teredo oraz IPv4-kompatybilne IPv6). Umożliwiało to atakującemu podanie adresów URL reprezentujących prywatne cele IPv4 w formach, które nie były blokowane przez metodę IpUtils::isPrivateIp().

Podatność w Symfony umożliwia nieuwierzytelnionemu atakującemu, poprzez nieudane żądanie logowania z parametrem _failure_path, wykonanie podżądania do chronionych tras GET z pominięciem nasłuchiwaczy zapory sieciowej. Problem występuje, gdy włączona jest opcja failure_forward: true.

Podatność w Symfony pozwala atakującemu na wstrzyknięcie sfałszowanych ładunków statusu Twilio poprzez ominięcie weryfikacji nagłówka X-Twilio-Signature HMAC. Metoda TwilioRequestParser::doParse() ignoruje skonfigurowany sekret webhooka, co umożliwia nieuwierzytelnione żądania POST.

Podatność w Symfony pozwala na wstrzykiwanie zewnętrznych encji XML (XXE) podczas przetwarzania XML przez metodę Crawler::addXmlContent(). Ustawienie DOMDocument::$validateOnParse = true przed loadXML() ponownie włącza rozwiązywanie zewnętrznych encji, co umożliwia atakującemu odczyt lokalnych plików poprzez encje file://.

Podatność w Symfony SendmailTransport w trybie -t powoduje, że adresy odbiorców są dołączane do linii poleceń sendmail bez separatora --, co pozwala adresowi zaczynającemu się od - być interpretowanym jako opcja sendmail. Problem został naprawiony w wersjach 5.4.52, 6.4.40, 7.4.12 i 8.0.12.

Podatność w Symfony, w komponencie MailtrapRequestParser::doParse(), powoduje ignorowanie nagłówka X-Mt-Signature HMAC, co pozwala nieuwierzytelnionym żądaniom POST na wstrzykiwanie fałszywych zdarzeń Mailtrap (dostarczenie, odrzucenie, otwarcie, kliknięcie, spam). Problem dotyczy wersji przed 7.4.12 i 8.0.12.

Symfony przed wersjami 6.4.40, 7.4.12 i 8.0.12 zawiera podatność w mostkach Mailjet i LOX24, gdzie webhooki nie weryfikują skonfigurowanych sekretów, pozwalając na nieuwierzytelnione żądania POST z fałszywymi ładunkami.

Podatność w Symfony, wersje od 6.1.0-BETA1 do 6.4.40, 7.4.12 i 8.0.12, polega na pominięciu atrybutów URL (action, formaction, poster, cite) w metodzie UrlAttributeSanitizer::getSupportedAttributes(). Konfiguracje dopuszczające te atrybuty mogą pozostawić niesanitizowane URI javascript:, co umożliwia ataki XSS podczas renderowania HTML lub interakcji użytkownika z formularzem lub przyciskiem.

Podatność w komponencie Yaml frameworka Symfony pozwala na atak typu ReDoS (Regular Expression Denial of Service) poprzez spreparowane dane wejściowe YAML. Funkcja `cleanup()` w klasie `Parser` używa wyrażeń regularnych z nakładającymi się kwantyfikatorami, co może spowodować zawieszenie parsowania na dowolnie długi czas.

Podatność w komponencie Yaml frameworka Symfony pozwala na atak typu „bomba YAML” poprzez rekurencyjne rozwijanie aliasów kolekcji. Mały, niezaufany plik YAML może zostać rozszerzony do struktury o rozmiarze wielu gigabajtów, prowadząc do wyczerpania pamięci.

Podatność w Symfony pozwala na atak DoS poprzez głęboko zagnieżdżone struktury YAML. Brak limitu głębokości rekurencji w parserze powoduje przepełnienie stosu PHP i awarię procesu roboczego.

W Symfony do wersji 7.4.12 i 8.0.12 atrybuty #[IsGranted], #[IsSignatureValid] i #[IsCsrfTokenValid] skonfigurowane tylko dla metody GET są pomijane przy żądaniach HEAD, co pozwala na wykonanie chronionego kontrolera i potencjalny wyciek nagłówków lub skutków ubocznych.

Podatność w Symfony, w klasie PdoAdapter, pozwala atakującemu na manipulację zapytaniem DELETE poprzez nieprawidłowe obsłużenie prefiksu. Brak odpowiedniego wiązania lub escapowania prefiksu umożliwia zmianę semantyki zapytania i zakresu usuwanych danych.

Podatność XSS w Symfony występuje, gdy filtr file_excerpt w profilerze deweloperskim interpoluje linie z plików innych niż PHP bezpośrednio do elementów <code>, co pozwala na atak XSS. Problem dotyczy wersji od 6.4.24 do 6.4.40, 7.4.12 i 8.0.12.

Podatność w Symfony pozwala na wstrzykiwanie nagłówków e-mail poprzez nieprawidłowe walidowanie nazw parametrów w klasie ParameterizedHeader. Atakujący może przekazać niesprawdzone dane zawierające znaki CRLF, co umożliwia dodanie dodatkowych nagłówków do wiadomości.

Symfony od wersji 6.1.0-BETA1 do 6.4.40, 7.4.12 i 8.0.12 zawiera podatność w metodzie UrlSanitizer::parse(), która przepuszcza znaki formatowania Unicode BiDi do oczyszczonych atrybutów href i src. Umożliwia to wyświetlenie linku o innym wyglądzie niż rzeczywisty cel, co pozwala na phishing.

Podatność w komponencie JsonPath frameworka Symfony pozwala atakującemu na przeprowadzenie ataku DoS poprzez przesłanie specjalnie spreparowanego wzorca do metod match() i search(). Wzorzec jest kompilowany bezpośrednio do preg_match() bez ograniczeń długości, co umożliwia wykorzystanie wyrażeń regularnych powodujących katastrofalne cofanie się (catastrophic backtracking) i przeciążenie procesora.

Podatność w Symfony ServerLogCommand pozwala zdalnemu atakującemu na wykonanie kodu PHP poprzez deserializację niesprawdzonych danych. Serwer nasłuchuje na porcie 9911 i deserializuje odebrane ramki bez uwierzytelniania ani walidacji klas.

Podatność w Symfony (wersje 7.1.0 do 7.4.12 i 8.0.12) pozwala atakującemu na przejęcie sesji uwierzytelniającej ofiary poprzez manipulację nagłówkiem Host, gdy framework.trusted_hosts nie jest skonfigurowany. Atakujący kontrolujący inną aplikację zarejestrowaną na tym samym serwerze CAS może odtworzyć bilet ofiary i uwierzytelnić się jako ona.

Podatność w komponencie Symfony Address pozwala na wstrzyknięcie nagłówków wiadomości e-mail lub komend SMTP poprzez specjalnie spreparowany adres e-mail z cytowanym lokalnym fragmentem zawierającym znaki nowej linii. Konstruktor klasy Address nie odrzucał adresów zawierających CRLF, co umożliwiało atakującemu manipulację treścią wiadomości lub protokołem SMTP.

Podatność w Symfony HtmlSanitizer umożliwia pominięcie listy dozwolonych hostów URL poprzez rozbieżności w parsowaniu URL między RFC 3986 a WHATWG oraz błędne sprawdzanie znacznika <area href> względem polityki mediów zamiast linków. Problem dotyczy wersji od 6.1.0-BETA1 do 6.4.40, 7.4.12 i 8.0.12.

W Symfony do wersji 5.4.52, 6.4.40, 7.4.12 i 8.0.12, generator URL (UrlGenerator) nieprawidłowo waliduje parametry tras. Wzorzec walidacji zbudowany jako ^ plus surowy wymóg plus $ pozwala na dopasowanie wartości takich jak //evil.com do wymogu locale, co umożliwia wygenerowanie adresu URL prowadzącego poza witrynę.

Komponent HttpFoundation w Symfony (wersje od 2.0.0 do 5.4.50, 6.4.29 i 7.3.7) nieprawidłowo interpretuje niektóre wartości PATH_INFO, co prowadzi do reprezentowania adresów URL ze ścieżką, która nie zaczyna się od '/'. Może to pozwolić na obejście reguł kontroli dostępu opartych na założeniu, że ścieżka zaczyna się od '/'. W wersjach 5.4.50, 6.4.29 i 7.3.7 klasa Request zapewnia, że ścieżki URL zawsze zaczynają się od '/'.

W Symfony od wersji 2.0.0, 5.0.0 i 6.0.0 do 4.4.51, 5.4.31 i 6.3.8 niektóre filtry Twig w CodeExtension używają `is_safe=html`, ale nie zapewniają bezpieczeństwa danych wejściowych. Począwszy od wersji 4.4.51, 5.4.31 i 6.3.8 Symfony ucieka dane wyjściowe dotkniętych filtrów.