CVE-2022-24894 in http-kernel

Tóm tắt

Bởi VulDB • 27/08/2026

Symfony là một framework PHP cho các ứng dụng web và console, cùng với một bộ các thành phần PHP có thể tái sử dụng. Hệ thống HTTP cache của Symfony hoạt động như một reverse proxy: nó lưu trữ toàn bộ phản hồi (bao gồm cả tiêu đề) và trả về chúng cho các máy khách. Trong một thay đổi gần đây trong `AbstractSessionListener`, phản hồi có thể chứa tiêu đề `Set-Cookie`. Nếu hệ thống HTTP cache của Symfony được kích hoạt, phản hồi này có thể bị lưu trữ và trả lại cho các máy khách tiếp theo. Một kẻ tấn công có thể sử dụng lỗ hổng này để truy xuất phiên làm việc (session) của nạn nhân. Vấn đề này đã được vá và sẵn sàng cho nhánh 4.4.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: GitHub, Inc.
• Đặt trước: 10/02/2022
• Tiết lộ: 04/02/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-220041
• CPE: sẵn sàng
• CWE: CWE-285 (Đã xác nhận)
• CVSS: 8.8 (NVD)
• EPSS: 0.03998
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-24894
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-24894
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-24894/