CVE-2021-41270mediumCWE-1236

CVE-2021-41270: falha de média gravidade em symfony

CSV Injection in Symfony

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar symfony+ Monitorar symfony

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 1.4%
Em resumo

O encoder de CSV do Symfony podia ser explorado para criar arquivos de planilha maliciosos que executam fórmulas ao abrir no Excel ou aplicativos similares. Caracteres especiais não eram escapados corretamente, permitindo que atacantes injetassem código executado automaticamente.

Detalhe técnico

Vulnerabilidade de injeção de CSV no CsvEncoder do Symfony afeta versões 4.1.0-4.4.34 e 5.0.0-5.3.11. A opção `csv_escape_formulas` não escapava adequadamente células iniciando com tab (0x09), carriage return (0x0D), =, +, -, ou @ conforme recomendações OWASP, possibilitando injeção de fórmulas quando dados CSV desserializados são exportados e abertos em aplicações de planilha. Corrigido nas versões 4.4.35 e 5.3.12 adotando prefixo de aspas simples para todos os caracteres perigosos.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Symfony/Serializer handles serializing and deserializing data structures for Symfony, a PHP framework for web and console applications and a set of reusable PHP components. Symfony versions 4.1.0 before 4.4.35 and versions 5.0.0 before 5.3.12 are vulnerable to CSV injection, also known as formula injection. In Symfony 4.1, maintainers added the opt-in `csv_escape_formulas` option in the `CsvEncoder`, to prefix all cells starting with `=`, `+`, `-` or `@` with a tab `\t`. Since then, OWASP added 2 chars in that list: Tab (0x09) and Carriage return (0x0D). This makes the previous prefix char (Tab `\t`) part of the vulnerable characters, and OWASP suggests using the single quote `'` for prefixing the value. Starting with versions 4.4.34 and 5.3.12, Symfony now follows the OWASP recommendations and uses the single quote `'` to prefix formulas and add the prefix to cells starting by `\t`, `\r` as well as `=`, `+`, `-` and `@`.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
symfony · symfony
CVEs relacionadas — symfony

No mesmo produto, das mais perigosas para as menos.

CVE-2024-50340HIGHAbility to change environment from query in symfony/runtimeEPSS 61.8%CVE-2022-24894MEDIUMSymfony storing cookie headers in HttpCacheEPSS 4.0%CVE-2020-15094HIGHRCE in SymfonyEPSS 3.0%CVE-2021-21424MEDIUMPrevent user enumeration using Guard or the new Authenticator-based SecurityEPSS 1.6%CVE-2026-47212MEDIUMSymfony: Twilio Notifier Webhook Parser Never Verifies the X-Twilio-Signature HMAC: Unauthenticated Webhook Event InjectionEPSS 1.5%CVE-2025-64500HIGHSymfony's incorrect parsing of PATH_INFO can lead to limited authorization bypassEPSS 1.4%