Multiple vulnerabilities have been found in the Symfony PHP framework which could lead to a timing attack/information leak, argument injection and code execution via unserialization.

**Version 3.4.35** (2019-11-13)

  - bug #34344 [Console] Constant STDOUT might be undefined     (nicolas-grekas)

  - security #cve-2019-18889 [Cache] forbid serializing     AbstractAdapter and TagAwareAdapter instances     (nicolas-grekas)

  - security #cve-2019-18888 [HttpFoundation] fix guessing     mime-types of files with leading dash (nicolas-grekas)

  - security #cve-2019-18887 [HttpKernel] Use constant time     comparison in UriSigner (stof)

----

**Version 3.4.34** (2019-11-11)

  - bug #34297 [DI] fix locators with numeric keys     (nicolas-grekas)

  - bug #34282 [DI] Dont cache classes with missing parents     (nicolas-grekas)

  - bug #34181 [Stopwatch] Fixed bug in getDuration when     counting multiple ongoing periods (TimoBakx)

  - bug #34179 [Stopwatch] Fixed a bug in     StopwatchEvent::getStartTime (TimoBakx)

  - bug #34203 [FrameworkBundle] [HttpKernel] fixed correct     EOL and EOM month (erics86)

----

**Version 3.4.33** (2019-11-01)

  - bug #33998 [Config] Disable default alphabet sorting in     glob function due of unstable sort (hurricane-voronin)

  - bug #34144 [Serializer] Improve messages for unexpected     resources values (fancyweb)

  - bug #34080 [SecurityBundle] correct types for default     arguments for firewall configs (shieldo)

  - bug #33999 [Form] Make sure to collect child forms     created on *_SET_DATA events (yceruto)

  - bug #34021 [TwigBridge] do not render errors for     checkboxes twice (xabbuh)

  - bug #34041 [HttpKernel] fix wrong removal of the just     generated container dir (nicolas-grekas)

  - bug #34023 [Dotenv] allow LF in single-quoted strings     (nicolas-grekas)

  - bug #33818 [Yaml] Throw exception for tagged invalid     inline elements (gharlan)

  - bug #33948 [PropertyInfo] Respect property name case     when guessing from public method name (antograssiot)

  - bug #33962 [Cache] fixed TagAwareAdapter returning     invalid cache (v-m-i)

  - bug #33965 [HttpFoundation] Add plus character `+` to     legal mime subtype (ilzrv)

  - bug #32943 [Dotenv] search variable values in ENV first     then env file (soufianZantar)

  - bug #33943 [VarDumper] fix resetting the 'bold' state in     CliDumper (nicolas-grekas)

----

**Version 3.4.32** (2019-10-07)

  - bug #33834 [Validator] Fix ValidValidator group     cascading usage (fancyweb)

  - bug #33841 [VarDumper] fix dumping uninitialized     SplFileInfo (nicolas-grekas)

  - bug #33799 [Security]: Don't let falsy usernames slip     through impersonation (j4nr6n)

  - bug #33814 [HttpFoundation] Check if data passed to     SessionBagProxy::initialize is an array (mynameisbogdan)

  - bug #33805 [FrameworkBundle] Fix wrong returned status     code in ConfigDebugCommand (jschaedl)

  - bug #33781 [AnnotationCacheWarmer] add     RedirectController to annotation cache (jenschude)

  - bug #33777 Fix the :only-of-type pseudo class selector     (jakzal)

  - bug #32051 [Serializer] Add CsvEncoder tests for PHP 7.4     (ro0NL)

  - feature #33776 Copy phpunit.xsd to a predictable path     (julienfalque)

  - bug #33759 [Security/Http] fix parsing X509 emailAddress     (nicolas-grekas)

  - bug #33733 [Serializer] fix denormalization of     string-arrays with only one element (mkrauser)

  - bug #33754 [Cache] fix known tag versions ttl check     (SwenVanZanten)

  - bug #33646 [HttpFoundation] allow additinal characters     in not raw cookies (marie)

  - bug #33748 [Console] Do not include hidden commands in     suggested alternatives (m-vo)

  - bug #33625 [DependencyInjection] Fix wrong exception     when service is synthetic (k0d3r1s)

  - bug #32522 [Validator] Accept underscores in the URL     validator, as the URL will load (battye)

  - bug #32437 Fix toolbar load when GET params are present     in '_wdt' route (Molkobain)

  - bug #32925 [Translation] Collect original locale in case     of fallback translation (digilist)

  - bug #31198 [FrameworkBundle] Fix framework bundle lock     configuration not working as expected (HypeMC)

  - bug #33719 [Cache] dont override native Memcached     options (nicolas-grekas)

  - bug #33675 [PhpUnit] Fix usleep mock return value     (fabpot)

  - bug #33618 fix tests depending on other components'     tests (xabbuh)

  - bug #33626 [PropertyInfo] ensure compatibility with type     resolver 0.5 (xabbuh)

  - bug #33620 [Twig] Fix Twig config extra keys (fabpot)

  - bug #33571 [Inflector] add support 'see' to 'ee' for     singularize 'fees' to 'fee' (maxhelias)

  - bug #32763 [Console] Get dimensions from stty on windows     if possible (rtek)

  - bug #33518 [Yaml] don't dump a scalar tag value on its     own line (xabbuh)

  - bug #32818 [HttpKernel] Fix getFileLinkFormat() to avoid     returning the wrong URL in Profiler (Arman-Hosseini)

  - bug #33487 [HttpKernel] Fix Apache mod_expires Session     Cache-Control issue (pbowyer)

  - bug #33439 [Validator] Sync string to date behavior and     throw a better exception (fancyweb)

  - bug #32903 [PHPUnit Bridge] Avoid registering listener     twice (alexpott)

  - bug #33402 [Finder] Prevent unintentional file locks in     Windows (jspringe)

  - bug #33396 Fix #33395 PHP 5.3 compatibility     (kylekatarnls)

  - bug #33385 [Console] allow Command::getName() to return     null (nicolas-grekas)

  - bug #33353 Return null as Expire header if it was set to     null (danrot)

  - bug #33382 [ProxyManager] remove     ProxiedMethodReturnExpression polyfill (nicolas-grekas)

  - bug #33377 [Yaml] fix dumping not inlined scalar tag     values (xabbuh)

----

**Version 3.4.31** (2019-08-26)

  - bug #33335 [DependencyInjection] Fixed the     `getServiceIds` implementation to always return aliases     (pdommelen)

  - bug #33244 [Router] Fix TraceableUrlMatcher behaviour     with trailing slash (Xavier Leune)

  - bug #33172 [Console] fixed a PHP notice when there is no     function in the stack trace of an Exception (fabpot)

  - bug #33157 Fix getMaxFilesize() returning zero (ausi)

  - bug #33139 [Intl] Cleanup unused language aliases entry     (ro0NL)

  - bug #33066 [Serializer] Fix negative DateInterval     (jderusse)

  - bug #33033 [Lock] consistently throw NotSupportException     (xabbuh)

  - bug #32516 [FrameworkBundle][Config] Ignore exceptions     thrown during reflection classes autoload (fancyweb)

  - bug #32981 Fix tests/code for php 7.4 (jderusse)

  - bug #32992 [ProxyManagerBridge] Polyfill for     unmaintained version (jderusse)

  - bug #32933 [PhpUnitBridge] fixed PHPUnit 8.3     compatibility: method handleError was renamed to
    __invoke (karser)

  - bug #32947 [Intl] Support DateTimeInterface in     IntlDateFormatter::format (pierredup)

  - bug #32838 [FrameworkBundle] Detect indirect env vars in     routing (ro0NL)

  - bug #32918 [Intl] Order alpha2 to alpha3 mapping (ro0NL)

  - bug #32902 [PhpUnitBridge] Allow sutFqcnResolver to     return array (VincentLanglet)

  - bug #32682 [HttpFoundation] Revert getClientIp @return     docblock (ossinkine)

  - bug #32910 [Yaml] PHP-8: Uncaught TypeError: abs()     expects parameter 1 to be int or float, string given     (Aleksandr Dankovtsev)

  - bug #32870 #32853 Check if $this->parameters is array.
    (ABGEO07)

  - bug #32868 [PhpUnitBridge] Allow symfony/phpunit-bridge     > 4.2 to be installed with phpunit 4.8 (jderusse)

  - bug #32767 [Yaml] fix comment in multi line value     (soufianZantar)

  - bug #32790 [HttpFoundation] Fix `getMaxFilesize`     (bennyborn)

  - bug #32796 [Cache] fix warning on PHP 7.4 (jpauli)

  - bug #32806 [Console] fix warning on PHP 7.4 (rez1dent3)

  - bug #32809 Don't add object-value of static properties     in the signature of container metadata-cache (arjenm)

  - bug #30096 [DI] Fix dumping Doctrine-like service graphs     (bis) (weaverryan, nicolas-grekas)

  - bug #32799 [HttpKernel] do not stopwatch sections when     profiler is disabled (Tobion)

----

**Packaging changes**

  - One distinct autoloader for each component.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Symfony 3.4.0 through 3.4.34, 4.2.0 through 4.2.11, and 4.3.0 through 4.3.7.
    Serializing certain cache adapter interfaces could result in remote code injection. This is related to     symfony/cache. (CVE-2019-18889)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Symfony 3.4.0 から 3.4.34、 4.2.0 から 4.2.11、 4.3.0 から 4.3.7で問題が発見されました。
    特定のキャッシュアダプターインターフェイスをシリアル化すると、リモートコードインジェクションが発生する可能性があります。これは symfony/cache に関連します。CVE-2019-18889

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

**バージョン3.4.35**（2019年11月13日）

  - バグ#34344[Console]定数のSTDOUTが未定義の可能性がある（nicolas-grekas）

  - セキュリティ #cve-2019-18889[キャッシュ]AbstractAdapterとTagAwareAdapterのインスタンスのシリアル化を禁止します（nicolas-grekas）

  - セキュリティ #cve-2019-18888[HttpFoundation]先頭のダッシュがあるファイルのMIMEタイプの推測を修正します（nicolas-grekas）

  - セキュリティ#cve-2019-18887[HttpKernel]UriSignerの一定時間の比較を使用します（stof）

----

**バージョン3.4.34**（2019年11月11日）

  - バグ#34297[DI]数値キーのあるロケーターを修正します（nicolas-grekas）

  - バグ#34282[DI]欠落している親でクラスがキャッシュされません（nicolas-grekas）

  - バグ#34181[Stopwatch]複数の進行中の期間をカウントする際のgetDurationのバグを修正しました（TimoBakx）

  - バグ#34179[Stopwatch]StopwatchEvent: : getStartTimeのバグを修正しました（TimoBakx）

  - バグ#34203[FrameworkBundle][HttpKernel]EOLおよびEOM月を修正しました（erics86）

----

**バージョン3.4.33**（2019年11月1日）

  - バグ#33998[Config]不安定なソートのため、glob関数のデフォルトのアルファベットソートを無効にします（hurricane-voronin）

  - バグ#34144[Serializer]予期しないリソース値のメッセージを改善します（fancyweb）

  - バグ#34080[SecurityBundle]ファイアウォール構成のデフォルト引数のタイプを修正します（Shieldo）

  - バグ#33999[Form]*_SET_DATAイベントで作成された子フォームを必ず収集するようにします（yceruto）

  - バグ#34021[TwigBridge]チェックボックスのエラーを2回レンダリングしません（xabbuh）

  - バグ#34041[HttpKernel]生成されたばかりのコンテナディレクトリの不適切な削除を修正します（nicolas-grekas）

  - バグ#34023[Dotenv]一重引用符で囲まれた文字列のLFを許可します（nicolas-grekas）

  - バグ#33818[Yaml]タグ付けされた無効なインライン要素の例外をスローします（gharlan）

  - バグ#33948[PropertyInfo]パブリックメソッド名から推測する際に、プロパティ名の大文字小文字を区別します（antograssiot）

  - バグ#33962[Cache]無効なキャッシュ（v-m-i）を返すTagAwareAdapterを修正しました

  - バグ#33965[HttpFoundation]正当なMIMEサブタイプにプラス文字「+」を追加します（ilzrv）

  - バグ#32943[Dotenv]最初にENVの変数値を検索し、次にenvファイルを検索します（soufianZantar）

  - バグ#33943[VarDumper]CliDumperにおける「bold」状態の再設定を修正します（nicolas-grekas）

----

**バージョン3.4.32**（2019年10月7日）

  - バグ#33834[Validator]ValidValidatorグループのカスケード使用を修正します（fancyweb）

  - バグ#33841[VarDumper]初期化されていないSplFileInfoのダンプを修正します（nicolas-grekas）

  - バグ#33799[セキュリティ]：偽のユーザー名がなりすましをすり抜けないようにします（j4nr6n）

  - バグ#33814[HttpFoundation]データがSessionBagProxy: : initialize is an arrayに渡されるかどうかをチェックします（mynameisbogdan）

  - バグ#33805[FrameworkBundle]ConfigDebugCommandで間違って返されたステータスコードを修正します（jschaedl）

  - バグ#33781[AnnotationCacheWarmer]RedirectControllerを注釈キャッシュに追加します（jenschude）

  - バグ #33777 the: only-of-typeの疑似クラスセレクターを修正します（jakzal）

  - バグ#32051[Serializer]PHP 7.4用のCsvEncoderテストを追加します （ro0NL）

  - 機能#33776phpunit.xsdを予測可能なパスにコピーします（julienfalque）

  - バグ#33759[Security/Http]X509 emailAddressの解析を修正します（nicolas-grekas）

  - バグ#33733[Serializer]1つの要素のみがあるstring-arraysの非正規化を修正します（mkrauser）

  - バグ#33754[Cache]既知のタグバージョンttlのチェックを修正します（SwenVanZanten）

  - バグ#33646[HttpFoundation]未加工のクッキーへの追加文字を許可します（marie）

  - バグ#33748[Console]提案された代替策に隠しコマンドを含めません（m-vo）

  - バグ#33625[DependencyInjection]サービスが合成である場合の誤った例外を修正します（k0d3r1s）

  - バグ#32522[Validator]URLがロードされるため、URLバリデーターのアンダースコアを受け入れます（battye）

  - バグ#32437「_wdt」ルートにGETパラメーターが存在する場合のツールバーロードを修正します（Molkbain）

  - バグ#32925[Translation]フォールバック変換の際に元のロケールを収集します（digilist）

  - バグ#31198[FrameworkBundle]フレームワークバンドルロック構成が期待通りに動作しないことを修正します（HypeMC）

  - バグ#33719[キャッシュ]ネイティブのMemcachedオプションをオーバーライドしません（nicolas-grekas）

  - バグ#33675[PhpUnit]usleepモックの戻り値を修正します（fabpot）

  - バグ#33618他のコンポーネントのテストに依存するテストを修正します（xabbuh）

  - バグ#33626[PropertyInfo]タイプリゾルバー0.5との互換性を確保します（xabbuh）

  - バグ#33620[Twig]Twig構成の追加キーを修正します（fabpot）

  - バグ#33571[Inflector]「fees」を単数形の「fee」にするために「see」の「ee」へのサポートを追加します（maxhelias）

  - バグ#32763[Console]可能な場合には、Windowsのsttyから寸法を取得します（rtek）

  - バグ#33518 Yaml]スカラータグ値を独自の行にダンプしません（xabbuh）

  - バグ#32818[HttpKernel]Profilerで間違ったURLが返されるのを回避するためにgetFileLinkFormat()を修正します（Arman-Hosseini）

  - バグ#33487[HttpKernel]Apache mod_expiresセッションのキャッシュコントロールの問題を修正します（pbowyer）

  - バグ#33439[Validator]文字列を日付の動作に同期し、より適切な例外をスローします（fancyweb）

  - バグ#32903[PHPUnit Bridge]リスナーを2回登録しないようにします（alexpatt）

  - バグ#33402[Finder]Windowsでの意図しないファイルのロックを防止します（jspringe）

  - バグ#33396 修正#33395 PHP 5.3の互換性（kylekatarnls）

  - バグ#33385[Console]nullを返すCommand: : getName()を許可します（nicolas-grekas）

  - バグ#33353nullに設定された場合、Expireヘッダーとしてnullを返します（danrot）

  - バグ#33382[ProxyManager]ProxiedMethodReturnExpressionポリフィル（nicolas-grekas）を削除します

  - バグ#33377[Yaml]インライン化されていないスカラータグ値のダンプを修正します（xabbuh）

----

**バージョン3.4.31**（2019年8月26日）

  - バグ#33335[DependencyInjection]「getServiceIds」実装が常にエイリアスを返すように修正しました（pdommelen）

  - バグ#33244[Router]末尾のスラッシュのあるTraceableUrlMatcherの動作を修正します（Xavier Leune氏）

  - バグ#33172[Console]例外のスタックトレースに関数がない場合のPHP通知を修正しました（fabpot）

  - バグ#33157 ロを返すgetMaxFilesize()を修正します（ausi）

  - バグ#33139[Intl]未使用の言語エイリアスエントリをクリーンアップします（ro0NL）

  - バグ#33066[Serializer]負のDateIntervalを修正します（jderusse）

  - バグ#33033[Lock]NotSupportExceptionを一貫してスローします（xabbuh）

  - バグ#32516[FrameworkBundle][Config]リフレクションクラスの自動ロード中にスローされる例外を無視します（fancyweb）

  - バグ#32981php 7.4用のテスト/コードを修正します（jderusse）

  - バグ#32992[ProxyManagerBridge]未維持バージョン用のPolyfill（jderusse）

  - バグ#32933[PhpUnitBridge]PHPUnit 8.3のcompatibility: メソッドのhandleErrorの名前が
    __invokeに変更されることを修正しました（karser）

  - バグ#32947[Intl]IntlDateFormatter: : formatでDateTimeInterfaceをサポートします（pierredup）

  - バグ#32838[FrameworkBundle]ルーティングの際に間接的なenv変数を検出します（ro0NL）

  - バグ#32918[Intl]alpha2からalpha3へのマッピングを順序付けします（ro0NL）

  - バグ#32902[PhpUnitBridge]sutFqcnResolverが配列を返すことを許可します（VincentLanglet）

  - バグ#32682[HttpFoundation]getClientIp @return docblockを元に戻します（ossinkin）

  - バグ#32910[Yaml]PHP-8: Uncaught TypeError: abs()は、選択した文字列のパラメーター1がintまたはfloatであることを期待します（Aleksandr Dankovtsev氏）

  - バグ #32870 #32853$this->parametersが配列であるかをチェックします。
    （ABGEO07）

  - バグ#32868[PhpUnitBridge]symfony/phpunit-bridge > 4.2をphpunit 4.8でインストールできるようにします（jderusse）

  - バグ#32767[Yaml]複数行の値のコメントを修正します（soufianZantar）

  - バグ#32790[HttpFoundation]「getMaxFilesize」を修正します（bennybor）

  - バグ#32796[Cache]PHP 7.4の警告を修正します （jpauli）

  - バグ#32806[Console]PHP 7.4の警告を修正します（rez1dent3）

  - バグ#32809コンテナメタデータキャッシュの署名で静的プロパティのobject-valueが追加されません（arjenm）

  - バグ#30096[DI]Doctrineのようなサービスグラフのダンプを修正します（bis）（weaverryan、nicolas-grekas）

  - バグ#32799[HttpKernel]プロファイラーが無効の際にセクションを停止しません（Tobion）

----

**パッケージの変更**

  - コンポーネントごとに1つの異なるオートローダー。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Symfony 3.4.0 至 3.4.34、 4.2.0 至 4.2.11和 4.3.0 至 4.3.7中發現一個問題。
    序列化特定快取介面卡可導致遠端程式碼插入。這與 symfony/cache 有關。 (CVE-2019-18889)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Symfony PHPフレームワークに複数の脆弱性が見つかりました。これらの脆弱性により、タイミング攻撃/情報漏えい、引数インジェクション、シリアル化解除によるコード実行が引き起こされる可能性があります。

在 Symfony PHP 框架中发现多个漏洞，这些漏洞可通过反序列化导致时序攻击/信息泄露、参数注入和代码执行。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Symfony 3.4.0 到 3.4.34、 4.2.0 到 4.2.11和 4.3.0 到 4.3.7中发现问题。
    序列化某些缓存适配器接口可能导致远程代码注入。这与 symfony/cache 有关。 (CVE-2019-18889)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 Symfony PHP 架構中發現多個弱點，可透過未序列化導致定時攻擊/資訊洩漏、引數插入和程式碼執行。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
131141	Debian DSA-4573-1 : symfony - security update	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	critical
131202	Fedora 31 : php-symfony3 (2019-8b0ba02338)	Nessus	Fedora Local Security Checks	2019/11/22	2024/4/10	critical
257921	Linux Distros Unpatched Vulnerability : CVE-2019-18889	Nessus	Misc.	2025/8/27	2025/8/27	critical
257921	Linux Distros のパッチ未適用の脆弱性: CVE-2019-18889	Nessus	Misc.	2025/8/27	2025/8/27	critical
131202	Fedora 31：php-symfony3（2019-8b0ba02338）	Nessus	Fedora Local Security Checks	2019/11/22	2024/4/10	critical
257921	Linux Distros 未修補的弱點：CVE-2019-18889	Nessus	Misc.	2025/8/27	2025/8/27	critical
131141	Debian DSA-4573-1：symfony - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	critical
131141	Debian DSA-4573-1：symfony - 安全更新	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	critical
257921	Linux Distros 未修补的漏洞：CVE-2019-18889	Nessus	Misc.	2025/8/27	2025/8/27	critical
131141	Debian DSA-4573-1：symfony - 安全性更新	Nessus	Debian Local Security Checks	2019/11/20	2024/4/11	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical