Kritisch

Symfony Authentication Bypass

Veröffentlicht: 14.05.2022
Aktualisiert: 11.10.2026 10:22

Symfony before 2.8.6 and 3.x before 3.0.6 allows remote attackers to bypass authentication by logging in with an empty password and valid username, which triggers an unauthenticated bind.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	symfony/security	>= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6	2.8.6, 3.0.6
Composer-Paket	symfony/security-core	>= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6	2.8.6, 3.0.6
Composer-Paket	symfony/symfony	>= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6	2.8.6, 3.0.6

Verweise

CVSS-Wert 9.8/10

CVSS-Vektor: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-287
Plattform: Composer
Paket: symfony/security, symfony/security-core, symfony/symfony
Veröffentlicht: 14.05.2022
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wvj5-r78r-hhfq - CC BY 4.0

Schwachstellenhistorie: symfony/security

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv

Einträge insgesamt: 17
Erste → letzte: 02.2020 05.2022
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 3
Hoch 7
Mittel 6
Niedrig 1

Veröffentlichungen pro Jahr

2020: 2
2021: 1
2022: 14
2023: 0
2024: 0
2025: 0
2026: 0

24.05.2022

Symfony Incorrect Access Control

Kritisch · 9.8 CVE-2017-11365 >= 2.7.30, < 2.7.32, >= 2.8.23, < 2.8.25, >= 3.2.10, < 3.2.12, >= 3.3.3, < 3.3.5 2.7.32, 2.8.25, 3.2.12, 3.3.5
17.05.2022

Symphony Denial of Service Via Overlong Usernames

Hoch · 7.5 CVE-2016-4423 >= 2.3.0, < 2.3.41, >= 2.4.0, < 2.7.13, >= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6 2.3.41, 2.7.13, 2.8.6, 3.0.6
17.05.2022

Symfony Cryptographic Vulnerability

Hoch · 7.5 CVE-2016-1902 >= 2.3.0, < 2.3.37, >= 2.4.0, < 2.6.13, >= 2.7.0, < 2.7.9 2.3.37, 2.6.13, 2.7.9
17.05.2022

Symfony Vulnerable to Timing Attack

Hoch CVE-2015-8125 >= 2.3.0, < 2.3.35, >= 2.4.0, < 2.6.12, >= 2.7.0, < 2.7.7 2.3.35, 2.6.12, 2.7.7
14.05.2022

Symfony Authentication Bypass

Kritisch · 9.8 CVE-2018-11407 >= 2.8.0, < 2.8.37, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.7, >= 4.0.0, < 4.0.7 2.8.37, 3.3.17, 3.4.7, 4.0.7
14.05.2022

Symfony Authentication Bypass dieser Eintrag

Kritisch · 9.8 CVE-2016-2403 >= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6 2.8.6, 3.0.6
14.05.2022

Symfony Session Fixation Vulnerability

Hoch · 8.1 CVE-2018-11385 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
14.05.2022

Symfony CSRF Token Fixation

Hoch · 8.8 CVE-2018-11406 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
30.03.2020

Firewall configured with unanimous strategy was not actually unanimous in Symfony

Hoch · 7.6 CVE-2020-5275 >= 4.4.0, < 4.4.7, >= 5.0.0, < 5.0.7 4.4.7, 5.0.7
12.02.2020

Improper authentication in Symfony

Hoch · 7.5 CVE-2019-10911 >= 2.7.0, < 2.7.51, >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.7.51, 2.8.50, 3.4.26, 4.1.12, 4.2.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden