CVE-2022-24895
Təsvir
Symfony veb və konsol tətbiqləri üçün PHP freymvorku və təkrar istifadə edilə bilən PHP komponentləri toplusudur. İstifadəçilər autentifikasiya olunarkən Symfony standart olaraq daxil olduqda sessiya ID-sini yenidən yaradır, lakin digər sessiya atributlarını saxlayır. Bu proses daxil olduqda CSRF tokenlərini təmizləmədiyi üçün eyni saytda olan hücumçulara sessiyanın sabitlənməsinə (session-fixation) bənzər bir hücum həyata keçirməklə CSRF mühafizə mexanizmini yan keçmək imkanı verə bilər. Bu problem 4.4 budaq versiyasında düzəldilmişdir.
Necə düzəltmək olar
- sensiolabs symfony4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 və ya daha yeni versiya
- symfony/security-bundle4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 və ya daha yeni versiya
- symfony/symfony4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sensiolabs symfony | 2.0.0 ≤ v < 4.4.50, 5.0.0 ≤ v < 5.4.20, 6.0.0 ≤ v < 6.0.20, 6.1.0 ≤ v < 6.1.12, 6.2.0 ≤ v < 6.2.6 | 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 |
| symfony/security-bundlePackagist | 2.0.0 ≤ v < 4.4.50, 5.0.0 ≤ v < 5.4.20, 6.0.0 ≤ v < 6.0.20, 6.1.0 ≤ v < 6.1.12, 6.2.0 ≤ v < 6.2.6 | 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 |
| symfony/symfonyPackagist | 2.0.0 ≤ v < 4.4.50, 5.0.0 ≤ v < 5.4.20, 6.0.0 ≤ v < 6.0.20, 6.1.0 ≤ v < 6.1.12, 6.2.0 ≤ v < 6.2.6 | 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.