ディレクトリトラバーサルとファイルの露出 • CVE-2021-21424 • 説明: WebProfilerは、本番環境で無効化されていない場合、サーバーの内部パスを公開します。 • 影響を受けるバージョン: Symfony 2.8 から 5.x。 • 典型的なバイパス: /app_dev.php/_profiler/ への直接アクセス。
CVE-2021-21424 の概要
• CVE: 2021-21424
• コンポーネント: Web Profiler / Dev Toolbar
• 影響: 機密情報の露出（環境、パス、パラメータ）
• 要件: /app_dev.php, /_profiler, または /_wdt が本番環境からアクセス可能であること。
• リスク: 権限昇格、環境変数、資格情報、内部パスへのアクセス、リクエストのデバッグ、コントローラのプロファイリングが可能。