CVE-2017-16790 in Symfony
الملخص
بحسب VulDB • 04/08/2026
تم اكتشاف مشكلة في Symfony قبل الإصدارات 2.7.38، و2.8.31، و3.2.14، و3.3.13، و3.4-BETA5، و4.0-BETA5. عند تقديم نموذج (Form) من قِبل المستخدم، تقوم فئات معالج الطلبات في مكون النموذج بدمج بيانات POST وملفات المرفوعة ضمن مصفوفة واحدة. تشكل هذه المصفوفة الكبيرة البيانات التي يتم ربطها لاحقاً بالنموذج. في هذه المرحلة، لا يوجد فرق بعد بين بيانات POST المقدمة وبيانات الملفات المرفوعة. يمكن للمستخدم إرسال طلب HTTP مُعدّ بعناية حيث تُرسل قيمة حقل "FileType" كجزء من بيانات POST عادية قد يُفسَّر مسار ملف محلي على جانب الخادم (على سبيل المثال: "file:///etc/passwd"). إذا لم تقم التطبيق بإجراء أي فحوصات إضافية حول القيمة المقدمة لحقل "FileType"، فقد يتم كشف محتويات الملف المحدد الموجود على الخادم للمهاجم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.