Hoch

eZ Platform CSRF token in login form is disabled by default

Veröffentlicht: 15.05.2024
Aktualisiert: 11.10.2026 10:22

his security advisory fixes a potential vulnerability in the eZ Platform log in form. That form has a Cross-Site Request Forgery (CSRF) token, but the CSRF functionality is not enabled by default, meaning the token is inactive. The fix is distributed via Composer as ezsystems/ezplatform v2.5.4, and in v3.0.0 when that will be released.

If you'd like to manually enable it in your configuration, this is done by editing your app/config/security.yml and setting the "csrf_token_generator" key to "security.csrf.token_manager", like this:

security:
    firewalls:
        ezpublish_front:
            form_login:
                csrf_token_generator: security.csrf.token_manager

NB: In eZ Platform 3.0 this file has been moved to config/packages/security.yaml

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	ezsystems/ezplatform	>= 2.5.0, < 2.5.4	2.5.4

Verweise

CVSS-Wert -

Schwäche (CWE): CWE-352
Plattform: Composer
Paket: ezsystems/ezplatform
Veröffentlicht: 15.05.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-45qm-j4m9-whv9 - CC BY 4.0

Schwachstellenhistorie: ezsystems/ezplatform

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 4
Erste → letzte: 09.2021 05.2024
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2
Mittel 2

Veröffentlichungen pro Jahr

2021: 1
2022: 0
2023: 0
2024: 3
2025: 0
2026: 0

15.05.2024

eZ Platform Prevent accepting app.php in URL in Platform.sh

Mittel ghsa-qhjc-hg94-245v >= 2.5.0, < 2.5.4, >= 1.13.0, < 1.13.5.1, >= 1.7.0, < 1.7.9.1 2.5.4, 1.13.5.1, 1.7.9.1
15.05.2024

eZ Platform Rules to disable executable access are ignored on Platform.sh (eZ Cloud)

Mittel ghsa-6xch-2vxx-5pvr >= 2.5.0, < 2.5.4, >= 1.13.0, < 1.13.5.1, >= 1.7.0, < 1.7.9.1 2.5.4, 1.13.5.1, 1.7.9.1
15.05.2024

eZ Platform CSRF token in login form is disabled by default dieser Eintrag

Hoch ghsa-45qm-j4m9-whv9 >= 2.5.0, < 2.5.4 2.5.4
14.09.2021

Any storage file can be downloaded from p.sh if full server path is known

Hoch ghsa-2rh5-jvgx-pgw3 >= 2.0.0, < 2.5.24.1, < 1.13.6.1 2.5.24.1, 1.13.6.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden