ob娱乐下载Symfony2安全审计

Symfob娱乐下载ony2核心团队很重视安全问题;我们有一个专门的过程报告等问题,框架本身试图给开发人员所需的所有功能安全的代码很容易。

多亏了我们成功的社区欧宝体育平台怎么样捐赠开车,SektionEins执行安全审计的Symfony2代码今年早些时候。ob娱乐下载审计已经结束,好消息是,Symfony2代码相当坚实的;ob娱乐下载欧宝平台是合法的吗只发现了一些小问题。现在他们都解决了,但这是完整的报告与相关提交供参考:

• ob娱乐下载Symfony \ HttpFoundation \ \组件请求:isSecure ()信托基金SSL_HTTPS和X_FORWARDED_PROTOHTTP头信息来决定如果由SSL。可以用来做HTTP降级在执行MITM攻击。也许让configureable使用。

  ob娱乐下载Symfony \ HttpFoundation \ \组件请求:getHost ()信托基金X_FORWARDED_HOSTHTTP报头。如果有可能导致问题getHost ()用于dev /生产切换。输出或者主机名(xss、sql、…)也许让configureable使用。

  ob娱乐下载Symfony \ HttpFoundation \ \组件请求:prepareRequestUri ()信托基金X_REWRITE_URLHTTP报头。可以使用URL绕过过滤器由Web应用程序防火墙执行。也许让configureable使用。

  固定在这里和在这里。

• ob娱乐下载Symfony \组件\验证器\ \ TimeValidator约束::isValid():正则表达式不固定。“邪恶的有效载荷 11:11:11 bla”将被验证为有效时间。

  固定在这里

• ob娱乐下载Symfony \组件\ HttpFoundation \ HeaderBag: __toString ()使用preg_replace与/ e修饰符。看起来是安全的但它代替会更好一些语句不做动态eval ()

  ob娱乐下载Symfony \ DependencyInjection \ \组件容器:camelize ()使用preg_replace与/ e修饰符。看起来是安全的但它代替会更好一些语句不做动态eval ()

  ob娱乐下载Symfony \组件\ \ Util \ PropertyPath形式::camelize ()使用preg_replace与/ e修饰符。看起来是安全的但它代替会更好一些语句不做动态eval ()

  固定在这里

• ob娱乐下载Symfony \ \安全\ \编码器\ PlaintextPasswordEncoder核心组件:使用这个编码器应该气馁。删除它或警告的使用问题。

  的PlaintextPasswordEncoder一直作为使用摘要式身份验证时需要。

• 饼干:fromString ()信托的数据字符串。因此cookie标题可以设置一个饼干作为安全即使响应/ uri是HTTP。这是一个安全问题,因为HTTP中间人攻击BrowserKit注入HTTPS cookie。建议是忽视安全标志如果原始uri没有得到或不是HTTPS。

  固定在这里

• ob娱乐下载Symfony \包\ FrameworkBundle \客户:getScript ():如果任何美元的内核/美元的请求属性包含输入如”);phpinfo (); / /这将得到执行。也”在代码文件名就会打破。

  ob娱乐下载Symfony \组件\ HttpKernel \客户:getScript ():如果任何美元的内核/美元的请求属性包含输入如”);phpinfo (); / /这将得到执行。也”在代码文件名就会打破。

  固定在这里

• ob娱乐下载Symfony核心组件\ \安全\ \身份验证提供者\ \ AnonymousAuthenticationProvider::验证():美元的关键是相对于! =。为了安全目的= = !建议。

  固定在这里

• ob娱乐下载Symfony /包/ FrameworkBundle / exception.html.twig /资源/视图/异常:消息的印刷是一个例外format_file_from_text格式。这种格式为html标记为安全的。但是它经常包含异常的用户输入。演示:/ web / app_dev。php / _profiler /出口/ xx < script src =数据:文本,警报(123);> . txt

  固定在这里