Mittel

Cookie persistence after password changes in symfony/security-bundle

Veröffentlicht: 24.11.2021
Aktualisiert: 11.10.2026 10:22

Description

Since the rework of the Remember me cookie in Symfony 5.3, the cookie is not invalidated anymore when the user changes its password.

Attackers can therefore maintain their access to the account even if the password is changed as long as they have had the chance to login once and get a valid remember me cookie.

Resolution

Symfony now makes the password part of the signature by default. In that way, when the password changes then the cookie is not valid anymore.

The patch for this issue is available here for branch 5.3.

Credits

We would like to thank Thibaut Decherit for reporting the issue and Wouter J for fixing the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	symfony/security-bundle	>= 5.3.0, < 5.3.12	5.3.12
Composer-Paket	symfony/symfony	>= 5.3.0, < 5.3.12	5.3.12

Verweise

CVSS-Wert 6.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-384
Plattform: Composer
Paket: symfony/security-bundle, symfony/symfony
Veröffentlicht: 24.11.2021
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-qw36-p97w-vcqr - CC BY 4.0

Schwachstellenhistorie: symfony/security-bundle

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 11.2021 11.2024
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 3
Niedrig 1

Veröffentlichungen pro Jahr

2021: 1
2022: 2
2023: 1
2024: 1
2025: 0
2026: 0

06.11.2024

Symfony's `Security::login` does not take into account custom `user_checker`

Niedrig · 3.1 CVE-2024-50341 >= 6.2.0, < 6.4.10, >= 7.0.0, < 7.0.10, >= 7.1.0, < 7.1.3 6.4.10, 7.0.10, 7.1.3
01.02.2023

Symfony vulnerable to Session Fixation of CSRF tokens

Mittel · 6.3 CVE-2022-24895 >= 2.0.0, < 4.4.50, >= 5.0.0, < 5.4.20, >= 6.0.0, < 6.0.20, >= 6.1.0, < 6.1.12, >= 6.2.0, < 6.2.6 4.4.50, 5.4.20, 6.0.20, 6.1.12, 6.2.6
14.05.2022

Symfony Open Redirect

Mittel · 6.1 CVE-2018-11408 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.3.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
14.05.2022

Symfony CSRF Token Fixation

Hoch · 8.8 CVE-2018-11406 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
24.11.2021

Cookie persistence after password changes in symfony/security-bundle dieser Eintrag

Mittel · 6.5 CVE-2021-41268 >= 5.3.0, < 5.3.12 5.3.12

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden