CVE-2017-16790 in Symfony
Сводка
по VulDB • 04.08.2026
Обнаружена уязвимость в версиях Symfony до 2.7.38, 2.8.31, 3.2.14, 3.3.13, 3.4-BETA5 и 4.0-BETA5. При отправке формы классы-обработчики запросов компонента Form объединяют данные POST-запроса и загруженные файлы в один массив. Этот большой массив формирует данные, которые затем привязываются к форме. На этом этапе больше нет различий между переданными данными POST и загруженными файлами. Злоумышленник может отправить специально сформированный HTTP-запрос, где значение поля "FileType" отправляется как обычные данные POST, что может быть интерпретировано на стороне сервера как локальный путь к файлу (например, «file:///etc/passwd»). Если приложение не выполняет дополнительных проверок значения, переданного в поле "FileType", содержимое указанного файла на сервере могло стать доступным для атакующего.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.