**Version 2.8.41** (2018-05-25)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

----

**Version 2.8.40** (2018-05-21)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - feature #24896 Add CODE_OF_CONDUCT.md (egircys)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**Version 3.4.11** (2018-05-25)

  - bug #27364 [DI] Fix bad exception on uninitialized     references to non-shared services (nicolas-grekas)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 migrating session for     UsernamePasswordJsonAuthenticationListener

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

  - bug #27341 [WebProfilerBundle] Fixed validator/dump     trace CSS (yceruto)

  - bug #27337 [FrameworkBundle] fix typo in     CacheClearCommand (emilielorenzo)

----

**Version 3.4.10** (2018-05-21)

  - bug #27264 [Validator] Use strict type in URL validator     (mimol91)

  - bug #27267 [DependencyInjection] resolve array env vars     (jamesthomasonjr)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27271 [DI] Allow defining bindings on     ChildDefinition (nicolas-grekas)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #27287 [PropertyInfo] fix resolving parent|self type     hints (nicolas-grekas)

  - bug #27281 [HttpKernel] Fix dealing with self/parent in     ArgumentMetadataFactory (fabpot)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27265 [DI] Shared services should not be inlined in     non-shared ones (nicolas-grekas)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27232 [Cache][Lock] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27191 [DI] Display previous error messages when     throwing unused bindings (nicolas-grekas)

  - bug #27231 [FrameworkBundle] Fix cache:clear on vagrant     (nicolas-grekas)

  - bug #27222 [WebProfilerBundle][Cache] Fix misses     calculation when calling getItems (fsevestre)

  - bug #27227 [HttpKernel] Handle NoConfigurationException     'onKernelException()' (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - bug #27158 [Cache] fix logic for fetching tag versions     on TagAwareAdapter (dmaicher)

  - bug #27143 [Console] By default hide the short exception     trace line from exception messages in Symfony's commands     (yceruto)

  - bug #27133 [Doctrine Bridge] fix priority for doctrine     event listeners (dmaicher)

  - bug #27135 [FrameworkBundle] Use the correct service id     for CachePoolPruneCommand in its compiler pass     (DemonTPx)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**Version 4.0.11** (2018-05-25)

  - bug #27364 [DI] Fix bad exception on uninitialized     references to non-shared services (nicolas-grekas)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 migrating session for     UsernamePasswordJsonAuthenticationListener

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

  - bug #27341 [WebProfilerBundle] Fixed validator/dump     trace CSS (yceruto)

  - bug #27337 [FrameworkBundle] fix typo in     CacheClearCommand (emilielorenzo)

----

**Version 4.0.10** (2018-05-21)

  - bug #27264 [Validator] Use strict type in URL validator     (mimol91)

  - bug #27267 [DependencyInjection] resolve array env vars     (jamesthomasonjr)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27271 [DI] Allow defining bindings on     ChildDefinition (nicolas-grekas)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #27287 [PropertyInfo] fix resolving parent|self type     hints (nicolas-grekas)

  - bug #27281 [HttpKernel] Fix dealing with self/parent in     ArgumentMetadataFactory (fabpot)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27265 [DI] Shared services should not be inlined in     non-shared ones (nicolas-grekas)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27232 [Cache][Lock] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27191 [DI] Display previous error messages when     throwing unused bindings (nicolas-grekas)

  - bug #27231 [FrameworkBundle] Fix cache:clear on vagrant     (nicolas-grekas)

  - bug #27222 [WebProfilerBundle][Cache] Fix misses     calculation when calling getItems (fsevestre)

  - bug #27227 [HttpKernel] Handle NoConfigurationException     'onKernelException()' (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - bug #27158 [Cache] fix logic for fetching tag versions     on TagAwareAdapter (dmaicher)

  - bug #27143 [Console] By default hide the short exception     trace line from exception messages in Symfony's commands     (yceruto)

  - bug #27133 [Doctrine Bridge] fix priority for doctrine     event listeners (dmaicher)

  - bug #27135 [FrameworkBundle] Use the correct service id     for CachePoolPruneCommand in its compiler pass     (DemonTPx)

  - feature #24896 Add CODE_OF_CONDUCT.md (egircys)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**バージョン2.8.41**（2018-05-25）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

----

**バージョン2.8.40**（2018-05-21）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン4.0.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン4.0.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン3.4.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン3.4.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Multiple vulnerabilities have been found in the Symfony PHP framework which could lead to open redirects, cross-site request forgery, information disclosure, session fixation or denial of service.

Several security vulnerabilities have been discovered in symfony, a PHP web application framework. Numerous symfony components are affected: Security, bundle readers, session handling, SecurityBundle, HttpFoundation, Form, and Security\Http.

The corresponding upstream advisories contain further details :

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http

For Debian 8 'Jessie', these problems have been fixed in version 2.3.21+dfsg-4+deb8u4.

We recommend that you upgrade your symfony packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Symfony PHPフレームワークに、オープンリダイレクト、クロスサイトリクエストフォージェリ、情報漏洩、セッション固定、またはサービス拒否を引き起こす可能性がある複数の脆弱性が見つかりました。

PHPのWebアプリケーションフレームワークであるsymfonyにいくつかのセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: セキュリティ、バンドルリーダー、セッション処理、SecurityBundle、HttpFoundation、Form、Security\Http。

対応するアップストリームアドバイザリには、次の詳細が含まれています:

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-out-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-guard-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and-risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-full-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-when-using-security-http

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u4で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Symfony PHP 框架中发现多个漏洞，可能会造成开放重定向、跨站请求伪造、信息泄露、会话固定或拒绝服务。

在 PHP Web 应用程序框架 symfony 中，已发现多个安全漏洞。多个 symfony 组件受到影响：Security、bundle readers、session handling、SecurityBundle、HttpFoundation、Form 和 Security\Http。相应的上游公告包含更详细的信息：[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on -security-handlers [CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths [CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication [CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on -security-handlers [CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers [CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path [CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http 对于 Debian 8“Jessie”，这些问题已在 2.3.21+dfsg-4+deb8u4 版本中修复。我们建议您升级 symfony 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Symfony PHP 架構中發現多個弱點，這些弱點可導致開放重新導向、跨網站要求偽造、資訊洩漏、工作階段固定或拒絕服務。

在 PHP web 應用程式架構 symfony 中發現數個安全性弱點。多個 symfony 元件受到影響：安全性、套件組合讀取器、工作階段處理、SecurityBundle、HttpFoundation、Form 和 Security\Http。對應的上游公告包含進一步詳細資料：[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on -security-handlers [CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths [CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication [CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on -security-handlers [CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers [CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path [CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http 針對 Debian 8「Jessie」，這些問題已在 2.3.21+dfsg-4+deb8u4 版本中修正。建議您升級 symfony 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	Name	Product	Family	Published	Updated	Severity
120881	Fedora 28 : php-symfony (2018-eba0006df2)	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
120738	Fedora 28 : php-symfony3 (2018-ba0b683c10)	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
120636	Fedora 28 : php-symfony4 (2018-96d770ddc9)	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
120881	Fedora 28：php-symfony（2018-eba0006df2）	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
120636	Fedora 28：php-symfony4（2018-96d770ddc9）	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
120738	Fedora 28：php-symfony3 (2018-ba0b683c10)	Nessus	Fedora Local Security Checks	1/3/2019	1/6/2021	high
111535	Debian DSA-4262-1 : symfony - security update	Nessus	Debian Local Security Checks	8/6/2018	11/13/2018	critical
122721	Debian DLA-1707-1 : symfony security update	Nessus	Debian Local Security Checks	3/11/2019	1/11/2021	high
111535	DebianDSA-4262-1：symfony - セキュリティ更新	Nessus	Debian Local Security Checks	8/6/2018	11/13/2018	critical
122721	DebianDLA-1707-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	3/11/2019	1/11/2021	high
111535	Debian DSA-4262-1：symfony - 安全更新	Nessus	Debian Local Security Checks	8/6/2018	11/13/2018	critical
122721	Debian DLA-1707-1：symfony 安全更新	Nessus	Debian Local Security Checks	3/11/2019	1/11/2021	high
111535	Debian DSA-4262-1：symfony - 安全性更新	Nessus	Debian Local Security Checks	8/6/2018	11/13/2018	critical
122721	Debian DLA-1707-1：symfony 安全性更新	Nessus	Debian Local Security Checks	3/11/2019	1/11/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

critical

high

critical

high

critical

high

critical

high