CVE-2019-18886:阻止使用交换机用户功能的用户枚举

影响版本

欧宝娱乐app下载地址Symfony 4.2.0到4.2.11和4.3.0到4.3.7版本的安全/Http组件受此安全问题影响。

该问题已在Symfony 4.2.12和4.3.8中修复欧宝娱乐app下载地址。

注意，没有为Symfony 4.1提供修复，因为它们不再被维护。欧宝娱乐app下载地址

描述

在尝试使用switch用户功能时，由于根据用户是否存在而进行不同的处理，因此可以在没有相关权限的情况下枚举用户。

决议

现在，如果用户不能切换到用户，或者用户不存在，则无论用户是否存在，都将返回403。

针对此问题的补丁已经可用在这里对于4.2分支。

学分

我要感谢Matt Daum的报道和Nicolas Grekas解决这个问题。