Symfony vulnerable to Session Fixation of CSRF tokens
Description
When authenticating users Symfony by default regenerates the session ID upon login, but preserves the rest of session attributes. Because this does not clear CSRF tokens upon login, this might enables same-site attackers to bypass the CSRF protection mechanism by performing an attack similar to a session-fixation.
Resolution
Symfony removes all CSRF tokens from the session on successful login.
The patch for this issue is available here for branch 4.4.
Credits
We would like to thank Marco Squarcina for reporting the issue and Nicolas Grekas for fixing it.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | symfony/security-bundle | >= 2.0.0, < 4.4.50, >= 5.0.0, < 5.4.20, >= 6.0.0, < 6.0.20, >= 6.1.0, < 6.1.12, >= 6.2.0, < 6.2.6 | 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 |
| Paquete de Composer | symfony/symfony | >= 2.0.0, < 4.4.50, >= 5.0.0, < 5.4.20, >= 6.0.0, < 6.0.20, >= 6.1.0, < 6.1.12, >= 6.2.0, < 6.2.6 | 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6 |
Referencias
- https://github.com/symfony/symfony/security/advisories/GHSA-3gv2-29qc-v67m
- https://nvd.nist.gov/vuln/detail/CVE-2022-24895
- https://github.com/symfony/security-bundle/commit/076fd2088ada33d760758d98ff07ddedbf567946
- https://github.com/symfony/symfony/commit/5909d74ecee359ea4982fcf4331aaf2e489a1fd4
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/security-bundle/CVE-2022-24895.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2022-24895.yaml
- https://github.com/symfony/symfony
- https://lists.debian.org/debian-lts-announce/2023/07/msg00014.html
- https://symfony.com/cve-2022-24895
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L- Debilidad (CWE)
CWE-384, CWE-613- Plataforma
- Composer
- Paquete
symfony/security-bundle, symfony/symfony- Publicada
- 01.02.2023
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-3gv2-29qc-v67m - CC BY 4.0
Historial de vulnerabilidades: symfony/security-bundle
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 5
- Primera → última
- 11.2021 11.2024
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 3
- Baja 1
Divulgaciones por año
- 2021: 1
- 2022: 2
- 2023: 1
- 2024: 1
- 2025: 0
- 2026: 0
-
Symfony vulnerable to Session Fixation of CSRF tokens esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.