CVE-2017-16790 in Symfony
Resumen
por VulDB • 2026-08-04
Se ha descubierto un problema en Symfony antes de las versiones 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 y 4.0-BETA5. Cuando se envía un formulario por parte del usuario, las clases manejadoras de solicitudes del componente Form fusionan los datos POST con los datos de archivos subidos en una única matriz. Esta gran matriz constituye los datos que luego se vinculan al formulario. En esta etapa ya no existe diferencia entre los datos POST enviados y los archivos subidos. Un atacante puede enviar una solicitud HTTP manipulada donde el valor de un campo "FileType" se envía como datos normales del cuerpo POST, lo cual podría ser interpretado en el lado del servidor como la ruta a un archivo local (por ejemplo, "file:///etc/passwd"). Si la aplicación no realiza comprobaciones adicionales sobre el valor enviado al campo "FileType", los contenidos del archivo especificado en el servidor podrían haber sido expuestos al atacante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.