> Sensio Labs Symfony 授权问题漏洞

Sensio Labs Symfony 授权问题漏洞

CNNVD-ID编号	CNNVD-202111-2083	CVE编号	CVE-2021-41268
发布时间	2021-11-24	更新时间	2021-11-25
漏洞类型	授权问题	漏洞来源	N/A
危险等级	中危	威胁类型	远程
厂商	N/A

漏洞介绍

Sensio Labs Symfony是法国Sensio Labs公司的一套免费的、基于MVC架构的PHP开发框架。该框架提供常用的功能组件及工具，可用于快速创建复杂的WEB程序。 Symfony SecurityBundle存在授权问题漏洞，该漏洞源于Symfony SecurityBundle是Symfony的安全系统，一个用于web和控制台应用程序的PHP框架和一组可重用的PHP组件。由于在5.3.0版本中rework的Remember me cookie，当用户更改其密码时，cookie不会失效。因此，攻击者可利用该漏洞可以保持对帐户的访问，即使密码被更改，只要他们有机会登录一次，并获得有效的记住我的cookie。从5.3.12版本开始，Symfony默认将密码作为签名的一部分。这样，当密码更改时，cookie就会被删除

漏洞补丁

目前厂商已发布升级了Sensio Labs Symfony 授权问题漏洞的补丁，Sensio Labs Symfony 授权问题漏洞的补丁获取链接： https://github.com/symfony/symfony/security/advisories/GHSA-qw36-p97w-vcqr

参考网址

来源:CONFIRM

链接：https://github.com/symfony/symfony/security/advisories/GHSA-qw36-p97w-vcqr

来源:MISC

链接：https://github.com/symfony/symfony/releases/tag/v5.3.12

来源:MISC

链接：https://github.com/symfony/symfony/commit/36a808b857cd3240244f4b224452fb1e70dc6dfc

来源:MISC

链接：https://github.com/symfony/symfony/pull/44243

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202111-2083