安全释放:Symfony 2.0.6欧宝娱乐app下载地址

欧宝娱乐app下载地址Symfony 2.0.6刚刚发布。地址中的一个安全漏洞EntityUserProvider原则规定桥。

如果你让你的用户更新他们的登录/表单的用户名,如果您正在使用原则作为用户提供者,那么你是脆弱的,你应该尽快升级。

这个问题是用户可以切换到另一个。这里是如何繁殖:当前用户改变其现有用户名用户名通过一种形式到另一个。当提交表单时,他将有一个验证错误(如用户名已经存在),但用户对象在会话中仍将修改为新的用户名。这个用户的会话将被用于下一个请求的用户将切换到其他用户。

修复是通过主键刷新用户(通过一种形式不能更新),而不是用户名。

如果你不能立即升级,请以下申请补丁:https://github.com/s欧宝娱乐app下载地址ymfony/symfony/commit/9d2ab9ca9c1762

的更新日志还有其他所有的细节变化,你可以看一看满了吗diff。

如果你开始一个新项目,你可以得到Symfony标准版的分布欧宝娱乐app下载地址OB体育 页面。

如果你已经有一个项目基于Symfony标准版2.0。欧宝娱乐app下载地址x,你可以很容易地升级到2.0.6通过deps和deps.lock文件。

然后,运行供应商脚本:

美元/ bin /供应商安装

别忘了清理缓存:

php。美元/ app /控制台缓存:清楚

记住Symfony2组件也可以作为独欧宝娱乐app下载地址立的库。你可以让他们通过专门的只读存储库在Github (https://github.com/欧宝娱乐app下载地址symfony/Finder例如),通过安装它们梨(pear安装symfony欧宝娱乐app下载地址2 /仪),甚至通过安装它们作曲家。

正如我们声明在过去,请报告与安全相关的安全问题在前台[点]com而不是直接发布到Github。欧宝娱乐app下载地址这将给核心团队有机会审查和词下车之前解决这个问题。