CVE-2017-16790 in Symfony
Sumário
de VulDB • 04/08/2026
Foi identificada uma vulnerabilidade no Symfony nas versões anteriores a 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 e 4.0-BETA5. Quando um formulário é submetido pelo utilizador, as classes manipuladoras de pedidos do componente Form combinam os dados POST com os dados dos ficheiros carregados num único array. Este grande array constitui os dados que são posteriormente associados ao formulário. Neste estágio, já não existe diferença entre os dados POST submetidos e os dados dos ficheiros carregados. Um utilizador pode enviar um pedido HTTP manipulado onde o valor de um campo "FileType" é enviado como dados POST normais, podendo ser interpretado no lado do servidor como um caminho para um ficheiro local (por exemplo, "file:///etc/passwd"). Se a aplicação não realizar verificações adicionais sobre o valor submetido ao campo "FileType", os conteúdos desse ficheiro no servidor podem ter sido expostos ao atacante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.