CVE-2014-6072

Pacote Symfony WebProfiler, versões 2.0.X a 2.5.X

O Symfony Web Profiler, uma ferramenta de desenvolvimento, não deve ser habilitado em servidores de produção devido às informações confidenciais que fornece sobre um projeto Symfony. Se habilitado em produção, deve ser devidamente protegido. O recurso de importação/exportação do Web Profiler é vulnerável a exploração, mesmo quando protegido, pois não está protegido contra ataques CSRF e utiliza strings serializadas em PHP, tornando o aplicativo vulnerável à injeção de código.

Para o Symfony 2.3, atualize para a versão 2.3.19 e use os comandos Symfony profiler:import e profiler:export na interface de linha de comando, adicionando o trecho de código necessário ao app/console.

Para o Symfony 2.4 e 2.5, atualize para as versões 2.4.9 e 2.5.4, respectivamente, e importe os comandos no seu arquivo de configuração app/config.yml para usar os comandos profiler:import e profiler:export do Symfony.

Para o Symfony 2.0, 2.1 e 2.2, não há correções disponíveis, pois essas versões não são mais mantidas.

Como recomendação geral, nunca habilite o Symfony Web Profiler em servidores de produção e, caso seja necessário habilitá-lo, certifique-se de que ele esteja devidamente protegido.