Wysoka

eZ Platform CSRF token in login form is disabled by default

Ujawniono: 15.05.2024
Aktualizacja: 11.10.2026 10:22

his security advisory fixes a potential vulnerability in the eZ Platform log in form. That form has a Cross-Site Request Forgery (CSRF) token, but the CSRF functionality is not enabled by default, meaning the token is inactive. The fix is distributed via Composer as ezsystems/ezplatform v2.5.4, and in v3.0.0 when that will be released.

If you'd like to manually enable it in your configuration, this is done by editing your app/config/security.yml and setting the "csrf_token_generator" key to "security.csrf.token_manager", like this:

security:
    firewalls:
        ezpublish_front:
            form_login:
                csrf_token_generator: security.csrf.token_manager

NB: In eZ Platform 3.0 this file has been moved to config/packages/security.yaml

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	ezsystems/ezplatform	>= 2.5.0, < 2.5.4	2.5.4

Odnośniki

Ocena CVSS -

Słabość (CWE): CWE-352
Platforma: Composer
Paczka: ezsystems/ezplatform
Ujawniono: 15.05.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-45qm-j4m9-whv9 - CC BY 4.0

Historia podatności: ezsystems/ezplatform

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 09.2021 05.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2
Średnia 2

Ujawnienia w latach

2021: 1
2022: 0
2023: 0
2024: 3
2025: 0
2026: 0

15.05.2024

eZ Platform Prevent accepting app.php in URL in Platform.sh

Średnia ghsa-qhjc-hg94-245v >= 2.5.0, < 2.5.4, >= 1.13.0, < 1.13.5.1, >= 1.7.0, < 1.7.9.1 2.5.4, 1.13.5.1, 1.7.9.1
15.05.2024

eZ Platform Rules to disable executable access are ignored on Platform.sh (eZ Cloud)

Średnia ghsa-6xch-2vxx-5pvr >= 2.5.0, < 2.5.4, >= 1.13.0, < 1.13.5.1, >= 1.7.0, < 1.7.9.1 2.5.4, 1.13.5.1, 1.7.9.1
15.05.2024

eZ Platform CSRF token in login form is disabled by default ten wpis

Wysoka ghsa-45qm-j4m9-whv9 >= 2.5.0, < 2.5.4 2.5.4
14.09.2021

Any storage file can be downloaded from p.sh if full server path is known

Wysoka ghsa-2rh5-jvgx-pgw3 >= 2.0.0, < 2.5.24.1, < 1.13.6.1 2.5.24.1, 1.13.6.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację