CVE-2017-16790 in Symfony
Zusammenfassung
von VulDB • 04.08.2026
Es wurde ein Problem in Symfony vor den Versionen 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 und 4.0-BETA5 entdeckt. Wenn ein Formular vom Benutzer übermittelt wird, fusionieren die Request-Handler-Klassen der Form-Komponente POST-Daten und Daten hochgeladener Dateien zu einem einzigen Array. Dieses große Array bildet die Daten, die anschließend an das Formular gebunden werden. In diesem Stadium gibt es keine Unterscheidung mehr zwischen übermittelten POST-Daten und hochgeladenen Dateien. Ein Angreifer kann eine manipulierte HTTP-Anfrage senden, bei der der Wert eines „FileType“ als normale POST-Daten gesendet wird, die serverseitig als lokaler Dateipfad interpretiert werden könnten (z. B. „file:///etc/passwd“). Wenn die Anwendung keine zusätzlichen Prüfungen für den an das Feld „FileType“ übermittelten Wert durchführt, hätten die Inhalte der angegebenen Datei auf dem Server für den Angreifer offengelegt werden können.
Once again VulDB remains the best source for vulnerability data.