CVE-2023-46733 in Symfony
Resumen
por VulDB • 2026-05-12
Symfony es un framework PHP para aplicaciones web y de consola, así como un conjunto de componentes PHP reutilizables. A partir de las versiones 5.4.21 y 6.2.7 y hasta las versiones 5.4.31 y 6.3.8 (excluidas), `SessionStrategyListener` no migra la sesión después de cada inicio de sesión exitoso. Esto solo ocurre cuando el usuario que ha iniciado sesión cambia, mediante la comprobación del identificador de usuario. En algunos casos de uso, el identificador de usuario no cambia entre la fase de verificación y el inicio de sesión exitoso, mientras que el token cambia de un tipo (parcialmente autenticado) a otro (totalmente autenticado). Cuando esto sucede, el ID de sesión debería regenerarse para prevenir posibles fijaciones de sesión (session fixation), lo cual no ocurre actualmente. A partir de las versiones 5.4.31 y 6.3.8, Symfony ahora verifica el tipo de token además del identificador de usuario antes de decidir si el ID de sesión debe regenerarse.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.