漏洞信息
# 使用 Guard 或新的基于 Authenticator 的安全机制防止用户枚举
## 漏洞概述
Symfony框架中存在一个用户枚举漏洞，攻击者可以利用此漏洞在未授权的情况下枚举用户信息。
## 影响版本
- 3.4版本之前
## 漏洞细节
在尝试使用切换用户功能时，存在用户与否的不同处理方式，导致在未授权的情况下可以枚举用户。该漏洞与用户存在与否相关，若用户无切换权限，或者目标用户不存在时，该漏洞可以被利用。
## 影响
该漏洞允许未经授权的用户枚举系统中的用户信息，可能导致敏感信息泄露。目前3.4分支已提供补丁。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Prevent user enumeration using Guard or the new Authenticator-based Security
漏洞描述信息
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. The ability to enumerate users was possible without relevant permissions due to different handling depending on whether the user existed or not when attempting to use the switch users functionality. We now ensure that 403s are returned whether the user exists or not if a user cannot switch to a user or if the user does not exist. The patch for this issue is available for branch 3.4.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
漏洞类别
信息暴露
漏洞标题
Sensio Labs Symfony 信息泄露漏洞
漏洞描述信息
Sensio Labs Symfony是法国Sensio Labs公司的一套免费的、基于MVC架构的PHP开发框架。该框架提供常用的功能组件及工具，可用于快速创建复杂的WEB程序。 Symfony 存在安全漏洞。该漏洞源于应用程序基于应用程序数据库中用户帐户名的存在而返回不同的响应。远程攻击者枚举应用程序用户。以下产品及版本受到影响：Symfony: 3.0.0, 3.0.0-1, 3.0.01, 3.0.1, 3.0.2, 3.0.3, 3.0.4, 3.0.5, 3.0.6, 3.0.7, 3.0.8
CVSS信息
N/A
漏洞类别
信息泄露