CVE-2026-45063
Təsvir
Symfony veb və konsol tətbiqləri üçün PHP freymvorku və təkrar istifadə oluna bilən PHP komponentləri toplusudur. 5.4.52, 6.4.40, 7.4.12 və 8.0.12 versiyalarından əvvəl X509Authenticator istifadəçi identifikatorunu $_SERVER['SSL_CLIENT_S_DN'] dəyişənindən ankorsuz regex ilə çıxarır və bu regex fərqləndirici adda hər hansı yerdə emailAddress= ilə uyğunlaşır; bu da başqa RDN dəyəri, məsələn CN daxilində emailAddress=victim olan etibarlı sertifikata malik hücumçuya qurban kimi autentifikasiyadan keçməyə imkan verir. Bu problem 5.4.52, 6.4.40, 7.4.12 və 8.0.12 versiyalarında düzəldilib.
Necə düzəltmək olar
- sensiolabs symfony5.4.52, 6.4.40, 7.4.12, 8.0.12 və ya daha yeni versiya
- symfony/security-http5.4.52, 6.4.40, 7.4.12, 8.0.12 və ya daha yeni versiya
- symfony/symfony5.4.52, 6.4.40, 7.4.12, 8.0.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sensiolabs symfony | v < 5.4.52, 6.0.0 ≤ v < 6.4.40, 7.0.0 ≤ v < 7.4.12, 8.0.0 ≤ v < 8.0.12 | 5.4.52, 6.4.40, 7.4.12, 8.0.12 |
| symfony/security-httpPackagist | v < 5.4.52, 6.0.0-BETA1 ≤ v < 6.4.40, 7.0.0-BETA1 ≤ v < 7.4.12, 8.0.0-BETA1 ≤ v < 8.0.12 | 5.4.52, 6.4.40, 7.4.12, 8.0.12 |
| symfony/symfonyPackagist | v < 5.4.52, 6.0.0-BETA1 ≤ v < 6.4.40, 7.0.0-BETA1 ≤ v < 7.4.12, 8.0.0-BETA1 ≤ v < 8.0.12 | 5.4.52, 6.4.40, 7.4.12, 8.0.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.