CVE-2024-51996
Publiée le 2024-11-13 · Dernière modification le 2026-06-17
Les applications conçues avec le framework PHP Symfony sont concernées si elles utilisent des cookies « remember-me » pour la persistance des sessions. Un attaquant peut contourner l'authentification pour obtenir un accès complet au compte d'un autre utilisateur en fournissant un cookie spécifiquement conçu. Cette action peut être exécutée à distance via le réseau, sans nécessiter d'identifiants valides ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Symphony process is a module for the Symphony PHP framework which executes commands in sub-processes. When consuming a persisted remember-me cookie, Symfony does not check if the username persisted in the database matches the username attached with the cookie, leading to authentication bypass. This vulnerability is fixed in 5.4.47, 6.4.15, and 7.1.8.