Symfony vulnerable to command execution hijack on Windows with Process class
Description
On Windows, when an executable file named cmd.exe is located in the current working directory it will be called by the Process class when preparing command arguments, leading to possible hijacking.
Resolution
The Process class now uses the absolute path to cmd.exe.
The patch for this issue is available here for branch 5.4.
Credits
We would like to thank Jordi Boggiano for reporting the issue and Nicolas Grekas for providing the fix.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | symfony/process | < 5.4.46, >= 6.0.0, < 6.4.14, >= 7.0.0, < 7.1.7 | 5.4.46, 6.4.14, 7.1.7 |
| Paczka Composer | symfony/symfony | < 5.4.46, >= 6.0.0, < 6.4.14, >= 7.0.0, < 7.1.7 | 5.4.46, 6.4.14, 7.1.7 |
Odnośniki
- https://github.com/symfony/symfony/security/advisories/GHSA-qq5c-677p-737q
- https://nvd.nist.gov/vuln/detail/CVE-2024-51736
- https://github.com/symfony/symfony/commit/18ecd03eda3917fdf901a48e72518f911c64a1c9
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/process/CVE-2024-51736.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2024-51736.yaml
- https://github.com/symfony/symfony
- https://symfony.com/cve-2024-51736
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-77- Platforma
- Composer
- Paczka
symfony/process, symfony/symfony- Ujawniono
- 06.11.2024
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-qq5c-677p-737q - CC BY 4.0
Historia podatności: symfony/process
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 11.2024 01.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2024: 1
- 2025: 0
- 2026: 1
-
Symfony vulnerable to command execution hijack on Windows with Process class ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.