cve - 2017 - 16790:确保提交数据上传文件

影响版本

欧宝娱乐app下载地址Symfony 2.7.0 2.7.37, 2.8.0 2.8.30, 3.2.0 3.2.13, 3.3.0 3.3.12版本Symfony的表单组件受此影响安全问题。

这个问题已经固定在Symfony 2.7.38, 2.8欧宝娱乐app下载地址.31, 3.2.14, 3.3.13, -beta5 -beta5 3.4和4.0。

注意,没有修复为Symfony提供了3.0和3.1不再维护。欧宝娱乐app下载地址

描述

当用户提交表单,表单的请求处理程序类组件合并后数据(称为$ _POST在纯PHP数组)和数据(即上传文件带有_file美元在纯PHP数组)到一个数组中。这个大数组形式,然后绑定到表单的数据。在这个阶段之间没有区别了提交POST数据并上传文件。

用户可以发送的HTTP请求的价值在哪里文件类型正常发送POST数据,可以解释为一个地区在服务器端文件路径(例如,文件:/ / / etc / passwd)。如果应用程序没有执行任何额外的检查报价值文件类型在服务器上,给定文件的内容可能是暴露于攻击者。

决议

作为解决办法的一部分,一个新的isFileUpload ()方法被添加到RequestHandlerInterface。这个方法被调用的文件类型验证是一个上传文件的处理数据。

这个问题是可用的补丁在这里。

学分

我要感谢Ondrej报告》报告这一安全问题,基督教弗洛特曼提供修复和Symfony核心团队审查补丁。欧宝娱乐app下载地址