CVE-2019-10912:防止具有副作用的析构函数被反序列化
2019年4月17日·发表的
法比安效力
法比安效力
影响版本
欧宝娱乐app下载地址Symfony Cache组件的2.8.0至2.8.49、3.4.0至3.4.25、4.1.0至4.1.11和4.2.0至4.2.6版本受此安全问题影响。
该问题已在Symfony 2.8.50, 3.4.26,欧宝娱乐app下载地址 4.1.12和4.2.7中修复。
请注意，没有为Symfony 3.0、3.1、3.2、3.3和4.0提供欧宝娱乐app下载地址修复，因为它们不再被维护，2.7不受影响。
描述
当unserialize ()调用来自用户输入的内容时，则可以使用恶意有效负载触发文件删除或显示原始输出。
决议
我们现在阻止一些类被序列化或非序列化。
针对此问题的补丁已经可用在这里对于分支3.4。
学分
我要感谢Mindaugas Vedegys报告这个问题和Nicolas Grekas修复这个问题。
发表在＃安全警告
是否发现Symfony存在安全问题?欧宝娱乐app下载地址请将详情发送至www.oldmanjams.com的安全欧宝娱乐app下载地址在我们找到解决方案之前不要公开。
管理通知首选项在Symfony安全版本发布后立即收到一封电子邮件。欧宝娱乐app下载地址
评论
评论截止。
为了确保评论保持相关性，旧帖子将被关闭。