CVE-2017-16790 in Symfony
요약
\~에 의해 VulDB • 2026. 08. 04.
Symfony 2.7.38 미만, 2.8.31 미만, 3.2.14 미만, 3.3.13 미만, 3.4-BETA5 및 4.0-BETA5 버전에서 문제가 발견되었습니다. 사용자가 양식을 제출할 때 Form 컴포넌트의 요청 처리기 클래스는 POST 데이터와 업로드된 파일 데이터를 하나의 배열로 병합합니다. 이 큰 배열은 이후 양식에 바인딩되는 데이터를 구성합니다. 이 단계에서는 제출된 POST 데이터와 업로드된 파일 간에 더 이상 구분이 없습니다. 공격자는 "FileType"의 값이 서버 측에서 로컬 파일 경로(예: "file:///etc/passwd")로 해석될 수 있는 일반 POST 데이터로서 전송되도록 구성된 HTTP 요청을 보낼 수 있습니다. 애플리케이션이 "FileType"으로 제출된 값에 대해 추가 검사를 수행하지 않은 경우, 서버상의 해당 파일 내용이 공격자에게 노출되었을 가능성이 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.