exploitDog

CVE-2019-10909

Опубликовано: 16 мая 2019

Источник: nvd

CVSS3: 5.4

CVSS2: 3.5

EPSS Низкий

Описание

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before 4.2.7, validation messages are not escaped, which can lead to XSS when user input is included. This is related to symfony/framework-bundle.

Ссылки

https://github.com/symfony/symfony/commit/ab4d05358c3d0dd1a36fc8c306829f68e3dd84e2
Patch
Third Party Advisory
https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-templating-engine
Vendor Advisory
https://www.drupal.org/sa-core-2019-005
Third Party Advisory
https://www.synology.com/security/advisory/Synology_SA_19_19
Third Party Advisory
https://github.com/symfony/symfony/commit/ab4d05358c3d0dd1a36fc8c306829f68e3dd84e2
Patch
Third Party Advisory
https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-templating-engine
Vendor Advisory
https://www.drupal.org/sa-core-2019-005
Third Party Advisory
https://www.synology.com/security/advisory/Synology_SA_19_19
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*

Версия от 2.7.0 (включая) до 2.7.51 (исключая)

cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*

Версия от 2.8.0 (включая) до 2.8.50 (исключая)

cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*

Версия от 3.4.0 (включая) до 3.4.26 (исключая)

cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*

Версия от 4.1.0 (включая) до 4.1.12 (исключая)

cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*

Версия от 4.2.0 (включая) до 4.2.7 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:*

Версия от 8.5.0 (включая) до 8.5.15 (исключая)

cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:*

Версия от 8.6.0 (включая) до 8.6.15 (исключая)

EPSS

Процентиль: 69%

0.00615

Низкий

5.4 Medium

CVSS3

3.5 Low

CVSS2

Дефекты

CWE-79

Связанные уязвимости

CVE-2019-10909

CVSS3: 5.4

ubuntu

около 6 лет назад

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before 4.2.7, validation messages are not escaped, which can lead to XSS when user input is included. This is related to symfony/framework-bundle.

CVE-2019-10909

CVSS3: 5.4

debian

около 6 лет назад

In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x ...

GHSA-g996-q5r8-w7g2

CVSS3: 5.4

github

больше 5 лет назад

Symfony Cross-site Scripting (XSS) vulnerability

BDU:2020-00699

CVSS3: 5.4

fstec

больше 6 лет назад

Уязвимость функции проверки сообщения в symfony/framework-bundle программной платформы для разработки и управления веб-приложениями Symfony, связанная с отсутствием мер по защите структур веб-страницы, позволяющая нарушителю произвести XSS-атаку

EPSS

Процентиль: 69%

0.00615

Низкий

5.4 Medium

CVSS3

3.5 Low

CVSS2

Дефекты

CWE-79