Vulnerabilidad en VarDumper en Symfony v7.0.3 (CVE-2024-36610)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

29/11/2024

Última modificación:

24/12/2024

Descripción

Existe una vulnerabilidad de deserialización en la clase Stub del módulo VarDumper en Symfony v7.0.3. La vulnerabilidad surge de deficiencias en la implementación original al manejar propiedades con valores nulos o no inicializados. Un atacante podría construir datos serializados específicos y usar esta vulnerabilidad para ejecutar código no autorizado.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vulnerabilidad en VarDumper en Symfony v7.0.3 (CVE-2024-36610)

Descripción

Impacto

Referencias a soluciones, herramientas e información