CVE-2021-41268
Persistencia de cookies en Symfony
- Publicado
- 24 nov 2021
- Actualizado
- 4 ago 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 6 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 69,3 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Symfony/SecurityBundle es el sistema de seguridad de Symfony, un framework PHP para aplicaciones web y de consola y un conjunto de componentes PHP reusables. Desde la revisión de la cookie Remember me en la versión 5.3.0, la cookie no es invalidada cuando el usuario cambia su contraseña. Por lo tanto, los atacantes pueden mantener su acceso a la cuenta aunque se cambie la contraseña, siempre y cuando hayan tenido la oportunidad de iniciar sesión una vez y conseguir una cookie remember me válida. A partir de la versión 5.3.12, Symfony hace que la contraseña sea parte de la firma por defecto. De esta forma, cuando la contraseña cambia, la cookie deja de ser válida
Fuentes
1- Symfony-CVE-Scanner-PoC-Escáner
CVE-2021-21424 - Inyección CRLF - CVE-2021-41268 - Inyección de cabecera de host - CVE-2022-24894 - WebProfiler abierto - CVE-2019-10909 - Recorrido de directorios
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.