Symfony DataUriNormalizer가 대문자 DATA: 값으로 서버의 임의 파일을 읽게 함
PHP 웹 개발 도구가 서버 파일을 엿볼 수 있습니다.
요약
Symfony Serializer의 DataUriNormalizer가 대문자 DATA: 값을 인라인 데이터가 아닌 로컬 파일로 열어, 요청 한 번으로 서버의 임의 파일을 읽을 수 있습니다. 5.4.56 미만, 6.x는 6.4.50 미만, 7.x는 7.4.23 미만, 8.x는 8.1.11 미만 버전이 해당합니다.
해당 조건
- 외부 입력을 File, SplFileInfo, SplFileObject로 역직렬화하는 엔드포인트
- FrameworkBundle의 기본 설정
대처법
Symfony 5.4.56, 6.4.50, 7.4.23, 8.1.11 이상으로 업데이트하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Symfony 5.4 5.4.56 이상
- Symfony 6.4 6.4.50 이상
- Symfony 7.4 7.4.23 이상
- Symfony 8.1 8.1.11 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: github.com (새 탭에서 열림)
시각
처음 게시
처음 확인