🇰🇷 한글 설명
Symfony 프레임워크의 Twig 필터 중 일부가 HTML 안전성을 보장하지 않는 취약점이 발견되었습니다. 이로 인해 적절한 이스케이프 처리가 되지 않아 보안 위협이 발생할 수 있습니다.
💡 쉬운 설명
웹사이트를 만드는 도구인 Symfony에서 입력된 데이터를 안전하게 처리하지 못하는 허점이 발견되었습니다. 이 허점을 이용하면 공격자가 악성 코드를 웹사이트에 심을 수 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Starting in versions 2.0.0, 5.0.0, and 6.0.0 and prior to versions 4.4.51, 5.4.31, and 6.3.8, some Twig filters in CodeExtension use `is_safe=html` but don't actually ensure their input is safe. As of versions 4.4.51, 5.4.31, and 6.3.8, Symfony now escapes the output of the affected filters.
📍 영향받는 시스템
Symfony versions 2.0.0-4.4.50, 5.0.0-5.4.30, 6.0.0-6.3.7
⚔️ 공격 벡터
검증되지 않은 사용자 입력값이 Twig 필터를 통해 HTML로 출력될 때 발생하는 XSS(교차 사이트 스크립팅) 공격
🛡️ 대응 방법
Symfony를 최신 보안 패치 버전(4.4.51, 5.4.31, 6.3.8 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(4.4.51, 5.4.31, 6.3.8 미만)에 해당하는지 확인하십시오.
composer show symfony/twig-bundle | grep 'versions'