Symphony 通过 RememberMe 绕过身份验证 (CVE-2024-51996)
CVE编号
CVE-2024-51996利用情况
暂无补丁情况
N/A披露时间
2024-11-14漏洞描述
Symphony进程是Symphony PHP框架的一个模块，用于在子进程中执行命令。在消费持久化的记住我cookie时，Symfony并没有检查数据库中持久化的用户名是否与cookie中附带的用户名匹配，这导致了认证绕过漏洞。此漏洞已在版本5.4.47、6.4.15和7.1.8中得到修复。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/symfony/symfony/commit/81354d392c5f0b7a52bcbd729d6f82501e94135a | |
| https://github.com/symfony/symfony/security/advisories/GHSA-cg23-qf8f-62rr |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-287 | 认证机制不恰当 |
| CWE-289 | 使用候选名称进行的认证绕过 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论