CVE-2018-19790:使用安全\Http时打开重定向漏洞

影响版本

ob娱乐下载Symfony 2.7.0到2.7.49、2.8.0到2.8.48、3.0.0到3.4.19、4.0.0到4.0.14、4.1.0到4.1.8和4.2.0版本的Symfony Form组件受此安全问题影响。

该问题已在Symfony 2.7.50, 2.8.49,ob娱乐下载 3.4.20, 4.0.15, 4.1.9和4.2.1中修复。

请注意，没有为Symfony 3.0、3.1、3.2和3.3提供修复，因ob娱乐下载为它们不再被维护。

描述

中使用反斜杠_failure_path登录表单的输入字段，可以绕过重定向目标限制，并在登录后有效地将用户重定向到任何域。

决议

正则表达式筛选重定向目标已被更新，以考虑前后斜杠的混合。

针对此问题的补丁已经可用在这里对于分支2.7。

学分

我要感谢EC-CUBE开发团队报告了这个问题，Christian Flothmann修复了它。