Cross-site Scripting (XSS) ranjivost u ErrorHandleru za Symfony

---

Ni pandemija, ni potres, a ni hladno vrijeme nisu zaustavili pen testere Infigo IS-a da nađu bug u popularnom Symfonyju

Symfony, popularni set komponenti koje koriste mnoge PHP aplikacije, bio je ranjiv na neispravan prikaz parametara prilikom obrade greške.
Naš rezidentni PHP stručnjak, Luka Šikić, uspio je natjerati Symfonyjev ErrorHandler da prikaže ubačene znakove bez ispravnog HTML enkodiranja, što je u konačnici dovelo do mogućnosti iskorištavanja Cross-site Scripting (XSS) ranjivosti.

Symfony ima mjesečno preko 48 milijuna downloada tako da je korisnička baza ogromna – verzije koje su bile pogođene kreću se od 4.4.0 do 4.4.3 te 5.0.0 do 5.0.4. Srećom, greška je pokrpana i svi korisnici bi trebali skinuti novije verzije (trenutno aktualne su 4.4.7 i 5.0.7). Više o samoj problematici možete pročitati na službenom blogu.