Wysoka

RCE in Symfony

Ujawniono: 02.09.2020
Aktualizacja: 11.10.2026 10:22

Description

The CachingHttpClient class from the HttpClient Symfony component relies on the HttpCache class to handle requests. HttpCache uses internal headers like X-Body-Eval and X-Body-File to control the restoration of cached responses. The class was initially written with surrogate caching and ESI support in mind (all HTTP calls come from a trusted backend in that scenario). But when used by CachingHttpClient and if an attacker can control the response for a request being made by the CachingHttpClient, remote code execution is possible.

Resolution

HTTP headers designed for internal use in HttpCache are now stripped from remote responses before being passed to HttpCache.

The patch for this issue is available here for the 4.4 branch.

Credits

I would like to thank Matthias Pigulla (webfactory GmbH) for reporting and fixing the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	symfony/http-kernel	>= 4.3.0, < 4.4.13, >= 5.0.0, < 5.1.5	4.4.13, 5.1.5
Paczka Composer	symfony/symfony	>= 4.3.0, < 4.4.13, >= 5.0.0, < 5.1.5	4.4.13, 5.1.5

Odnośniki

Ocena CVSS 8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
Słabość (CWE): CWE-212
Platforma: Composer
Paczka: symfony/http-kernel, symfony/symfony
Ujawniono: 02.09.2020
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-754h-5r27-7x3r - CC BY 4.0

Historia podatności: symfony/http-kernel

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 8
Pierwsza → ostatnia: 09.2020 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4
Średnia 4

Ujawnienia w latach

2020: 1
2021: 1
2022: 3
2023: 1
2024: 1
2025: 0
2026: 1

27.05.2026

Symfony's HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]

Wysoka CVE-2026-45075 >= 7.4.0, < 7.4.12, >= 8.0.0, < 8.0.12 7.4.12, 8.0.12
30.05.2024

Symfony allows direct access of ESI URLs behind a trusted proxy

Wysoka · 7.5 CVE-2014-5245 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
01.02.2023

Symfony storing cookie headers in HttpCache

Średnia · 5.9 CVE-2022-24894 >= 2.0.0, < 4.4.50, >= 5.0.0, < 5.4.20, >= 6.0.0, < 6.0.20, >= 6.1.0, < 6.1.12, >= 6.2.0, < 6.2.6 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6
17.05.2022

Symfony Vulnerable to PHP Eval Injection

Średnia CVE-2015-2308 >= 2.0.0, < 2.3.27, >= 2.4.0, < 2.5.11, >= 2.6.0, < 2.6.6 2.3.27, 2.5.11, 2.6.6
17.05.2022

Symfony Incorrect Access Control

Średnia CVE-2015-4050 >= 2.3.19, < 2.3.29, >= 2.5.4, < 2.5.12, >= 2.6.0, < 2.6.8, >= 2.4.9, <= 2.4.10 2.3.29, 2.5.12, 2.6.8
26.03.2022

Symfony Http-Kernel has non-constant time comparison in UriSigner

Wysoka · 8.1 CVE-2019-18887 >= 2.2.0, < 2.8.52, >= 3.0.0, < 3.4.35, >= 4.0.0, < 4.2.12, >= 4.3.0, < 4.3.8 2.8.52, 3.4.35, 4.2.12, 4.3.8
24.11.2021

Webcache Poisoning in symfony/http-kernel

Średnia · 6.5 CVE-2021-41267 >= 5.2.0, < 5.3.12 5.3.12
02.09.2020

RCE in Symfony ten wpis

Wysoka · 8.0 CVE-2020-15094 >= 4.3.0, < 4.4.13, >= 5.0.0, < 5.1.5 4.4.13, 5.1.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację