PT-2024-40340 · Symfony · Symfony

Publicado 2024-05-30 · Atualizado 2024-05-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 2.0.x do Symfony

Descrição

O problema diz respeito à falha do componente XMLEncoder em desativar entidades externas durante a análise de XML, permitindo a inclusão de arquivos arbitrários do sistema de arquivos. Isso pode ser explorado na estrutura Symfony2, onde a classe XML é usada para desserialização ou como parte de uma API cliente/servidor.

Recomendações

Para a versão 2.0.x do Symfony, considere desativar o uso de entidades externas no componente XMLEncoder até que um patch esteja disponível. Restrinja o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

GHSA-J68W-PG49-F6VX

Produtos afetados

Symfony

Referências · 5

• https://github.com/symfony/serializer/commit/0943a06a663b573d7319fc1acd56d3484eaaa430 · Nota
• https://github.com/symfony/serializer · Nota
• https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/serializer/2012-02-24.yaml · Nota
• https://osv.dev/vulnerability/GHSA-j68w-pg49-f6vx · Aviso do Fabricante
• https://symfony.com/blog/security-release-symfony-2-0-11-released · Nota