Mittel

Symfony2 security issue when the trust proxy mode is enabled

Veröffentlicht: 30.05.2024
Aktualisiert: 11.10.2026 10:22

An application is vulnerable if it uses the client IP address as returned by the Request::getClientIp() method for sensitive decisions like IP based access control.

To fix this security issue, the following changes have been made to all versions of Symfony2:

A new Request::setTrustedProxies() method has been introduced and should be used intead of Request::trustProxyData() to enable the trust proxy mode. It takes an array of trusted proxy IP addresses as its argument:

// before (probably in your front controller script)
Request::trustProxyData();

// after
Request::setTrustedProxies(array('1.1.1.1'));
// 1.1.1.1 being the IP address of a trusted reverse proxy

The Request::trustProxyData() method has been deprecated (when used, it automatically trusts the latest proxy in the chain -- which is the current remote address):

php

Request::trustProxyData();

// is equivalent to
Request::setTrustedProxies(array($request->server->get('REMOTE_ADDR')));

We encourage all Symfony2 users to upgrade as soon as possible. It you don't want to upgrade to the latest version yet, you can also apply the following patches:

Patch for Symfony 2.0.19
Patch for Symfony 2.1.4

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	symfony/http-foundation	>= 2.0.0, < 2.0.19, >= 2.1.0, < 2.1.4	2.0.19, 2.1.4
Composer-Paket	symfony/symfony	>= 2.0.0, < 2.0.19, >= 2.1.0, < 2.1.4	2.0.19, 2.1.4

Verweise

CVSS-Wert -

Schwäche (CWE): -
Plattform: Composer
Paket: symfony/http-foundation, symfony/symfony
Veröffentlicht: 30.05.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vfm6-r2gc-pwww - CC BY 4.0

Schwachstellenhistorie: symfony/http-foundation

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (14) im Archiv

Einträge insgesamt: 14
Erste → letzte: 12.2019 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 3
Mittel 8
Niedrig 2

Veröffentlichungen pro Jahr

2019: 2
2020: 1
2021: 0
2022: 4
2023: 0
2024: 5
2025: 1
2026: 1

12.11.2025

Symfony's incorrect parsing of PATH_INFO can lead to limited authorization bypass

Hoch · 7.3 CVE-2025-64500 < 5.4.50, >= 6.0.0, < 6.4.29, >= 7.0.0, < 7.3.7 5.4.50, 6.4.29, 7.3.7
30.05.2024

Symfony vulnerable to denial of service via a malicious HTTP Host header

Hoch · 7.5 CVE-2014-5244 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
30.05.2024

Symfony2 security issue when the trust proxy mode is enabled dieser Eintrag

Mittel ghsa-vfm6-r2gc-pwww >= 2.0.0, < 2.0.19, >= 2.1.0, < 2.1.4 2.0.19, 2.1.4
02.12.2019

Invalid HTTP method overrides allow possible XSS or other attacks in Symfony

Kritisch · 9.8 CVE-2019-10913 >= 2.7.0, < 2.7.51, >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.7.51, 2.8.50, 3.4.26, 4.1.12, 4.2.7
02.12.2019

Argument injection in a MimeTypeGuesser in Symfony

Hoch · 7.5 CVE-2019-18888 >= 2.0.0, < 2.8.52, >= 3.0.0, < 3.4.35, >= 4.0.0, < 4.2.12, >= 4.3.0, < 4.3.8 2.8.52, 3.4.35, 4.2.12, 4.3.8

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden