PT-2024-34155 · Symfony+5 · Symfony Httpfoundation+5

Zer0Yu · Publicado 2024-10-29 · Atualizado 2025-07-01 · CVE-2024-50345

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

versões do symfony/http-foundation anteriores à 5.4.46

versões do symfony/http-foundation anteriores à 6.4.14

versões do symfony/http-foundation anteriores à 7.1.7

Descrição:

A classe Request no symfony/http-foundation não analisa URIs com caracteres especiais da mesma forma que os navegadores. Como resultado, um invasor pode enganar um validador que dependa da classe Request para redirecionar usuários para outro domínio. A falha já foi corrigida, e recomenda-se que os usuários atualizem. Não há soluções alternativas conhecidas para este problema.

Recomendações:

Para versões anteriores à 5.4.46, atualize para a versão 5.4.46 ou posterior.

Para versões anteriores à 6.4.14, atualize para a versão 6.4.14 ou posterior.

Para versões anteriores à 7.1.7, atualize para a versão 7.1.7 ou posterior.

Como solução alternativa temporária, considere validar as URLs manualmente para garantir que elas não contenham caracteres inválidos, conforme definido em https://url.spec.whatwg.org/, até que um patch seja aplicado.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

BDU:2025-07865

CVE-2024-50345

DLA-4200-1

DSA-5809-1

GHSA-MRQX-RP3W-JPJP

USN-7272-1

Produtos afetados

Astra Linux

Debian

Linuxmint

Red Os

Ubuntu

Symfony Httpfoundation

Referências · 40

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/50xxx/CVE-2024-50345.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2024-50345.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/http-foundation/CVE-2024-50345.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-mrqx-rp3w-jpjp · Aviso do Fabricante
• https://github.com/symfony/symfony/commit/5a9b08e5740af795854b1b639b7d45b9cbfe8819 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-50345 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50340 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50343 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50345 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-symfony4-cve-204-50342-cve-2024-50340-cve-2024-50343-cve-2024-50345/?sphrase_id=1076496 · Nota
• https://osv.dev/vulnerability/GHSA-mrqx-rp3w-jpjp · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-symfony4-cve-204-50342-cve-2024-50340-cve-2024-50343-cve-2024-50345 · Nota
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0421SE17 · Aviso do Fabricante
• https://url.spec.whatwg.org · Nota