CVE-2021-41270
Açıklama
Symfony/Serializer, web ve konsol uygulamaları için bir PHP çerçevesi ve yeniden kullanılabilir PHP bileşenleri seti olan Symfony için veri yapılarının serileştirilmesi ve tersine serileştirilmesini yönetir. Symfony'nin 4.4.35 öncesindeki 4.1.0 sürümleri ile 5.3.12 öncesindeki 5.0.0 sürümleri, formül enjeksiyonu olarak da bilinen CSV injection zafiyetine sahiptir. Symfony 4.1 sürümünde geliştiriciler, `=`, `+`, `-` veya `@` ile başlayan tüm hücrelerin başına sekme (`\t`) karakterini eklemek için `CsvEncoder` içerisine isteğe bağlı `csv_escape_formulas` seçeneğini eklemiştir. O tarihten bu yana OWASP, bu listeye iki karakter daha eklemiştir: Sekme (0x09) ve Satır başı (0x0D). Bu durum, önceki ön ek karakterini (Sekme `\t`) savunmasız karakterlerin bir parçası haline getirmiş ve OWASP değerin önüne tek tırnak `'` işaretinin konulmasını önermiştir. 4.4.34 ve 5.3.12 sürümlerinden itibaren Symfony artık OWASP önerilerini takip etmekte; formülleri ön eklemek için tek tırnak `'` kullanmakta ve `=` , `+`, `-` ve `@` karakterlerinin yanı sıra `\t` ve `\r` ile başlayan hücrelere de bu ön eki eklemektedir.
Nasıl düzeltilir
- sensiolabs symfony4.4.35, 5.3.12 ya da sonraki bir sürüm
- symfony/serializer5.3.12, 4.4.35 ya da sonraki bir sürüm
- symfony/symfony4.4.35, 5.3.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sensiolabs symfony | 4.1.0 ≤ v < 4.4.35, 5.0.0 ≤ v < 5.3.12 | 4.4.35, 5.3.12 |
| fedoraproject fedora | 34, 35 | — |
| symfony/serializerPackagist | 5.0.0 ≤ v < 5.3.12, 4.1.0 ≤ v < 4.4.35 | 5.3.12, 4.4.35 |
| symfony/symfonyPackagist | 4.1.0 ≤ v < 4.4.35, 5.0.0 ≤ v < 5.3.12 | 4.4.35, 5.3.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.