🇰🇷 한글 설명
Symfony 프레임워크의 Mailjet 및 LOX24 알림 브리지 웹훅 파서에서 설정된 웹훅 비밀키를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 위조된 Mailjet 및 LOX24 이벤트 페이로드를 주입할 수 있습니다. 해당 문제는 6.4.40, 7.4.12, 8.0.12 버전에서 수정되었습니다.
💡 쉬운 설명
웹사이트 알림을 전달받을 때 비밀번호를 확인하지 않아, 가짜 알림을 마음대로 보낼 수 있는 문제입니다. 공격자가 가짜 정보를 보내 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony versions prior to 6.4.40, 7.4.12, and 8.0.12
⚔️ 공격 벡터
인증되지 않은 사용자가 위조된 POST 요청을 통해 웹훅 페이로드를 주입
🛡️ 대응 방법
Symfony 프레임워크를 6.4.40, 7.4.12 또는 8.0.12 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(6.4.40, 7.4.12, 8.0.12 이상)인지 확인
composer show symfony/symfony | grep 'versions'