moften/cve-2021-21424Веб-профилировщик Symfony раскрывает внутренние маршруты сервера, если он не отключен в production.
Directory Traversal и раскрытие файлов • CVE-2021-21424 • Описание: WebProfiler раскрывает внутренние пути сервера, если он не отключён в производственной среде. • Затронутые версии: Symfony 2.8 – 5.x. • Типичный обход: прямой доступ к /app_dev.php/_profiler/.
Краткое описание CVE-2021-21424
• CVE: 2021-21424
• Компонент: Web Profiler / Dev Toolbar
• Воздействие: Раскрытие конфиденциальной информации (окружение, пути, параметры)
• Требование: Чтобы /app_dev.php, /_profiler или /_wdt были доступны из производственной среды.
• Риск: Позволяет повышение привилегий, доступ к переменным окружения, учётным данным, внутренним путям, отладку запросов и профилирование контроллеров.