远程主机上安装的 Symfony 版本低于 5.4.51或 6.4.x 低于 6.4.33或 7.3.x 低于 7.3.11或 7.4.x 低于 7.4.5或 8.0.x 低于 8.0.5。因而会受到 Process 组件中一个参数注入漏洞的影响。在 Windows 中转义参数时Symfony Process 组件未正确将某些字符尤其是“=”视为特殊字符。当从基于 MSYS2 的环境如 Git Bash执行 PHP且 Symfony Process 生成本机 Windows 可执行文件时MSYS2 的参数/路径转换可错误处理包含这些字符的无引号参数。与 Symfony 的预期相比这可导致生成的进程接收损坏/截断的参数。如果应用程序使用 Symfony 进程来调用文件管理命令路径参数中包含“=”则 MSYS2 转换层可能会在运行时更改参数。在受影响的设置中这可导致在非预期路径上执行操作直到并包括删除范围更广的目录或驱动器内容。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。另请注意，此插件不区分通过操作系统程序包管理器安装的 PHP 程序包、通过 Composer 或其他来源安装的 PHP 程序包。因此，操作系统程序包存储库提供的程序包可能具有向后移植修复程序，但此插件可能会错误地将这些修复程序报告为漏洞。请参阅 CVE-2026-24739 的特定操作系统插件，以检查有无向后移植修复程序。

检测

Symfony < 5.4.51 / 6.4.x < 6.4.33 / 7.3.x < 7.3.11 / 7.4.x < 7.4.5 / 8.0.x < 8.0.5 进程组件参数注入 (GHSA-r39x-jcww-82v6)

medium Nessus 插件 ID 298792

版本 1.3