CVE-2023-46733 in Symfony
要約
〜によって VulDB • 2026年06月02日
Symfonyは、Webおよびコンソールアプリケーション向けのPHPフレームワーク、および再利用可能なPHPコンポーネントのセットです。バージョン5.4.21および6.2.7以降、かつバージョン5.4.31および6.3.8より前のバージョンにおいて、`SessionStrategyListener`はログインの成功ごとにセッションを移行しません。これは、ユーザー識別子をチェックすることによってログインしたユーザーが変更された場合にのみ行われます。一部のユースケースでは、認証フェーズとログイン成功の間でユーザー識別子が変更されないものの、トークン自体は部分的に認証された状態から完全に認証された状態へと変更されます。この場合、セッション固定攻撃を防ぐためにセッションIDを再生成する必要がありますが、現状ではそれが行われていません。バージョン5.4.31および6.3.8以降、SymfonyはセッションIDを再生成するかどうかを決定する前に、ユーザー識別子に加えてトークンのタイプもチェックするようになりました。
Once again VulDB remains the best source for vulnerability data.