CVE-2025-64500 (CNNVD-202511-1316)

HIGH
中文标题:
Symfony 安全漏洞
英文标题:
Symfony's incorrect parsing of PATH_INFO can lead to limited authorization bypass
CVSS分数: 7.3
发布时间: 2025-11-12 21:40:57
漏洞类型: 其他
状态: PUBLISHED
数据质量分数: 0.40
数据版本: v4
漏洞描述
中文描述:

Symfony是Symfony公司的一个用于 Web 和控制台应用程序的 PHP 框架以及一组可重用的 PHP 组件。 Symfony 5.4.50之前版本、6.4.29之前版本和7.3.7之前版本存在安全漏洞，该漏洞源于PATH_INFO解析不当，可能导致绕过访问控制规则。

英文描述:

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Symfony's HttpFoundation component defines an object-oriented layer for the HTTP specification. Starting in version 2.0.0 and prior to version 5.4.50, 6.4.29, and 7.3.7, the `Request` class improperly interprets some `PATH_INFO` in a way that leads to representing some URLs with a path that doesn't start with a `/`. This can allow bypassing some access control rules that are built with this `/`-prefix assumption. Starting in versions 5.4.50, 6.4.29, and 7.3.7, the `Request` class now ensures that URL paths always start with a `/`.

CWE类型:
CWE-647
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
symfony symfony >= 2.0.0, < 5.4.50 - - cpe:2.3:a:symfony:symfony:>=_2.0.0,_<_5.4.50:*:*:*:*:*:*:*
symfony symfony >= 6.0.0, < 6.4.29 - - cpe:2.3:a:symfony:symfony:>=_6.0.0,_<_6.4.29:*:*:*:*:*:*:*
symfony symfony >= 7.0.0, < 7.3.7 - - cpe:2.3:a:symfony:symfony:>=_7.0.0,_<_7.3.7:*:*:*:*:*:*:*
sensiolabs httpfoundation * - - cpe:2.3:a:sensiolabs:httpfoundation:*:*:*:*:*:*:*:*
sensiolabs symfony * - - cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
https://github.com/symfony/symfony/security/advisories/GHSA-3rg7-wf37-54rm x_refsource_CONFIRM
cve.org
访问
https://github.com/symfony/symfony/commit/9962b91b12bb791322fa73836b350836b6db7cac x_refsource_MISC
cve.org
访问
https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/http-foundation/CVE-2025-64500.yaml x_refsource_MISC
cve.org
访问
https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2025-64500.yaml x_refsource_MISC
cve.org
访问
https://symfony.com/blog/cve-2025-64500-incorrect-parsing-of-path-info-can-lead-to-limited-authorization-bypass x_refsource_MISC
cve.org
访问
CVSS评分详情
3.1 (cna)
HIGH
7.3
CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
机密性
LOW
完整性
LOW
可用性
LOW
时间信息
发布时间:
2025-11-12 21:40:57
修改时间:
2025-11-13 16:50:55
创建时间:
2026-01-12 02:12:19
更新时间:
2026-02-05 06:00:27
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2025-64500 2025-11-15 03:17:46 2026-01-12 02:12:19
NVD nvd_CVE-2025-64500 2025-11-15 03:18:45 2026-01-12 02:28:01
CNNVD cnnvd_CNNVD-202511-1316 2026-01-15 01:52:30 2026-01-15 01:52:57
版本与语言
当前版本: v4
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v4 CNNVD
2026-01-15 01:52:57
vulnerability_type: 未提取 → 其他; cnnvd_id: 未提取 → CNNVD-202511-1316; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 其他
  • cnnvd_id: 未提取 -> CNNVD-202511-1316
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v3 NVD
2026-01-13 06:36:20
affected_products_count: 3 → 5
查看详细变更
  • affected_products_count: 3 -> 5
v2 NVD
2026-01-12 02:28:01
data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • data_sources: ['cve'] -> ['cve', 'nvd']