Multiple vulnerabilities were discovered in the Symfony PHP framework which could lead to cache bypass, authentication bypass, information disclosure, open redirect, cross-site request forgery, deletion of arbitrary files, or arbitrary code execution.

Several security vulnerabilities have been discovered in symfony, a PHP web application framework. Numerous symfony components are affected: Framework Bundle, Dependency Injection, Security, HttpFoundation

CVE-2019-10909

Validation messages were not escaped when using the form theme of the PHP templating engine which, when validation messages may contain user input, could result in an XSS.

For further information, see the upstream advisory at

https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in- the-php-templating-engine

CVE-2019-10910

Service IDs derived from unfiltered user input could result in the execution of any arbitrary code, resulting in possible remote code execution.

For further information, see the upstream advisory at https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-valid

CVE-2019-10911

This fixes situations where part of an expiry time in a cookie could be considered part of the username, or part of the username could be considered part of the expiry time. An attacker could modify the remember me cookie and authenticate as a different user. This attack is only possible if remember me functionality is enabled and the two users share a password hash or the password hashes (e.g.
UserInterface::getPassword()) are null for all users (which is valid if passwords are checked by an external system, e.g. an SSO).

For further information, see the upstream advisory at

https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remembe r-me-cookie-hash

CVE-2019-10913

HTTP methods, from either the HTTP method itself or using the X-Http-Method-Override header were previously returned as the method in question without validation being done on the string, meaning that they could be used in dangerous contexts when left unescaped.

For further information, see the upstream advisory at

https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-ove rrides

For Debian 8 'Jessie', these problems have been fixed in version 2.3.21+dfsg-4+deb8u5.

We recommend that you upgrade your symfony packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Symfony before 2.7.51, 2.8.x before 2.8.50, 3.x before 3.4.26, 4.x before 4.1.12, and 4.2.x before     4.2.7, HTTP Methods provided as verbs or using the override header may be treated as trusted input, but     they are not validated, possibly causing SQL injection or XSS. This is related to symfony/http-foundation.
    (CVE-2019-10913)

Note that Nessus relies on the presence of the package as reported by the vendor.

Symfony PHPフレームワークに、キャッシュバイパス、認証バイパス、情報漏えい、オープンリダイレクト、クロスサイトリクエストフォージェリ、任意のファイルの削除、または任意コードの実行の原因となる可能性のある、複数の脆弱性が見つかりました。

在 PHP web 應用程式架構 symfony 中發現數個安全性弱點。多個 symfony 元件受到影響：Framework Bundle、Dependency Injection、Security、HttpFoundation CVE-2019-10909 使用 PHP 範本引擎的表單主題時，並未規避驗證訊息，驗證訊息可能含有使用者輸入時會導致 XSS。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in- the-php-templating-engine CVE-2019-10910 衍生自未經篩選使用者輸入的服務 ID 可能導致任何程式碼執行，進而可能造成遠端程式碼執行。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-valid CVE-2019-10911 如此可修正下列問題：cookie 中的部分過期時間被認定為部分使用者名稱，或是部分使用者名稱被認定為部分過期時間。攻擊者可修改 remember me cookie 並驗證為另一名使用者。僅當 remember me 功能已啟用，且有兩名使用者共用一個密碼雜湊，或密碼雜湊 (如 UserInterface::getPassword()) 對所有使用者均為 null (若以外部系統 (如 SSO) 檢查密碼時為有效)，才能發動此攻擊。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remembe r-me-cookie-hash CVE-2019-10913 來自 HTTP 方法本身或使用 X-Http-Method-Override 標頭的 HTTP 方法先前會傳回為上述方法，而不需要對字串進行驗證，也就是說，在未逸出時，這些方法可用於危險內容。如需進一步資訊，請參閱上游公告：https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-ove rrides 針對 Debian 8「Jessie」，這些問題已在 2.3.21+dfsg-4+deb8u5 版本中修正。建議您升級 symfony 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 PHP Web 应用程序框架 symfony 中，已发现多个安全漏洞。多个 symfony 组件受到影响：框架捆绑包、依赖注入、安全、HttpFoundation CVE-2019-10909 使用 PHP 模板引擎的窗体主题时，并未规避验证消息，验证消息可能含有用户输入时会导致 XSS。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in- the-php-templating-engine CVE-2019-10910 来源于未经筛选用户输入的服务 ID 可能导致任何代码执行，进而可能造成远程代码执行。如需进一步信息，请参阅 https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-valid CVE-2019-10911 中的上游公告 如此可修复下列问题：cookie 中的部分到期时间被认定为部分用户名，或是部分用户名称被认定为部分到期时间。攻击者可修改 remember me cookie 并验证为另一名用户。仅当 remember me 功能已启用，且有两名用户共享一个密码哈希，或密码哈希（如 UserInterface::getPassword()）对所有用户均为 null（若以外部系统（如 SSO）检查密码时有效）时，才能发动此攻击。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remembe r-me-cookie-hash CVE-2019-10913 来自 HTTP 方法本身或使用 X-Http-Method-Override 标头的 HTTP 方法之前会转变回为上述方法，而不需要对字符串进行验证，即在未逃逸时，这些方法可用于危险环境。如需进一步信息，请参阅上游公告：https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-ove rrides 针对 Debian 8“Jessie”，这些问题已在 2.3.21+dfsg-4+deb8u5 版本中修复。我们建议您升级 symfony 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

PHPのWebアプリケーションフレームワークであるsymfonyに複数のセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: フレームワークバンドル、依存性インジェクション、セキュリティ、HttpFoundation

CVE-2019-10909

PHPテンプレートエンジンのフォームテーマを使用するときに検証メッセージが回避されませんでした。検証メッセージにユーザー入力が含まれていると、XSSを引き起こす可能性があります。

詳細については、

https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-tempのアップストリームアドバイザリを参照してください。

CVE-2019-10910

フィルタリングされていないユーザー入力から派生したサービスIDは、任意コードの実行を引き起こし、リモートでコードが実行される可能性があります。

詳細については、https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-validのアップストリームアドバイザリを参照してください。

CVE-2019-10911

これにより、Cookieの有効期限の一部をユーザー名の一部と見なしたり、ユーザー名の一部を有効期限の一部と見なしたりする可能性のある状況が修正されます。攻撃者が「remember me」Cookieを変更し、別のユーザーとして認証される可能性があります。この攻撃は、remember me機能が有効で、2人のユーザーがパスワードハッシュまたはパスワードハッシュ
(UserInterface::getPassword()) がすべてのユーザーに対してnullの場合にのみ可能です（これは、パスワードがSSOなどの外部システムによってチェックされる場合に有効です）。

詳細については、

https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remember-me-cookie-hashのアップストリームアドバイザリを参照してください。

CVE-2019-10913

HTTPメソッド自体、またはX-Http-Method-Overrideヘッダーを使用したHTTPメソッドは、以前、文字列の検証が行われずに問題のメソッドとして返されました。つまり、エスケープされない場合、危険なコンテキストで使用される可能性があります。

詳細については、

https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-overideのアップストリームアドバイザリを参照してください。

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u5で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 2.7.51之前的 Symfony、 2.8.x 之前的 2.8.50、 3.x 之前的 3.4.26、 4.x 之前的 4.1.12以及 4.2.x 之前的 4.2.7中以動詞形式提供的 HTTP 方法或使用覆寫標頭的 HTTP 方法可能被視為受信任的輸入但它們未經過驗證可能造成 SQL 插入或 XSS。這與 symfony/http-foundation 有關。
    (CVE-2019-10913)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 2.7.51之前的 Symfony、 2.8.x 之前的 2.8.50、 3.x 之前的 3.4.26、 4.x 之前的 4.1.12以及 4.2.x 之前的 4.2.7中作为动词提供的 HTTP 方法或使用替代标头可能会被视为受信任输入但是它们未经验证可能造成 SQL 注入或 XSS。这与 symfony/http-foundation 有关。
    (CVE-2019-10913)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.7.51より前の 、 2.8.x2.8.50より前の 、 3.x3.4.26より前の 、 4.x4.1.12より前の 、 4.2.x より 4.2.7前の の Symfony では、verb として提供されるか、オーバーライドヘッダーを使用する HTTP メソッドが信頼できる入力として扱われる可能性があります。これらは検証されず、SQL インジェクションまたは XSS を引き起こす可能性があります。これは symfony/http-foundation に関連しています。
    (CVE-2019-10913)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

在 Symfony PHP 架構中發現多個弱點，這些弱點可導致快取繞過、驗證繞過、資訊洩漏、開放重新導向、跨網站要求偽造、任意檔案刪除，或任意程式碼執行。

在 Symfony PHP 架构中发现多个漏洞，这些漏洞可导致缓存绕过、验证绕过、信息泄漏、开放重定向、跨站请求伪造、任意文件删除，或任意代码执行。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
124779	Debian DSA-4441-1 : symfony - security update	Nessus	Debian Local Security Checks	2019/5/13	2024/5/24	critical
124657	Debian DLA-1778-1 : symfony security update	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	critical
255980	Linux Distros Unpatched Vulnerability : CVE-2019-10913	Nessus	Misc.	2025/8/27	2025/8/27	critical
124779	DebianDSA-4441-1: symfony - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/13	2024/5/24	critical
124657	Debian DLA-1778-1：symfony 安全性更新	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	critical
124657	Debian DLA-1778-1：symfony 安全更新	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	critical
124657	DebianDLA-1778-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/7	2024/5/28	critical
255980	Linux Distros 未修補的弱點：CVE-2019-10913	Nessus	Misc.	2025/8/27	2025/8/27	critical
255980	Linux Distros 未修补的漏洞：CVE-2019-10913	Nessus	Misc.	2025/8/27	2025/8/27	critical
255980	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10913	Nessus	Misc.	2025/8/27	2025/8/27	critical
124779	Debian DSA-4441-1：symfony - 安全性更新	Nessus	Debian Local Security Checks	2019/5/13	2024/5/24	critical
124779	Debian DSA-4441-1：symfony - 安全更新	Nessus	Debian Local Security Checks	2019/5/13	2024/5/24	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical