🇰🇷 한글 설명
Symfony PHP 프레임워크의 TwilioRequestParser::doParse() 함수가 설정된 웹훅 비밀번호를 수신함에도 불구하고 X-Twilio-Signature HMAC 헤더를 무시하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 위조된 Twilio 상태 페이로드를 주입할 수 있습니다. 이 문제는 6.4.40, 7.4.12, 8.0.12 버전에서 수정되었습니다.
💡 쉬운 설명
Twilio라는 서비스를 사용할 때, 진짜 Twilio가 보낸 메시지인지 확인하는 보안 검사 과정이 제대로 작동하지 않는 문제입니다. 공격자가 가짜 메시지를 보내 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, TwilioRequestParser::doParse() received the configured webhook secret but ignored the X-Twilio-Signature HMAC header, allowing unauthenticated POST requests to inject forged Twilio status payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
📍 영향받는 시스템
Symfony versions prior to 6.4.40, 7.4.12, and 8.0.12
⚔️ 공격 벡터
인증되지 않은 POST 요청을 통한 위조된 Twilio 상태 페이로드 주입
🛡️ 대응 방법
Symfony 프레임워크를 6.4.40, 7.4.12 또는 8.0.12 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(6.4.40, 7.4.12, 8.0.12 이상)인지 확인합니다.
composer show symfony/symfony | grep 'versions'