概述
CVE-2025-64500是Symfony框架中的一个安全漏洞，CVSS评分为7.3（高危等级）。该漏洞源于Symfony HttpFoundation组件对PATH_INFO的不正确解析，可能导致有限的授权绕过。
漏洞描述
Symfony是一个用于Web和控制台应用程序的PHP框架，也是一组可重用的PHP组件。Symfony的HttpFoundation组件为HTTP规范定义了一个面向对象的层。
从版本2.0.0开始，直到版本5.4.50、6.4.29和7.3.7之前，Request类对某些PATH_INFO的解释方式存在问题，导致某些URL的路径表示不以/开头。这可能允许绕过一些基于/前缀假设构建的访问控制规则。
从版本5.4.50、6.4.29和7.3.7开始，Request类现在确保URL路径始终以/开头。
受影响产品
| ID | 供应商 | 产品 | 操作 |
|---|---|---|---|
| 1 | Sensiolabs | symfony |
受影响供应商总数：1 | 产品：1
CVSS评分
| 分数 | 版本 | 严重等级 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 7.3 | CVSS 3.1 | 高危 | 3.9 | 3.4 | security-advisories@github.com | |
| 7.3 | CVSS 3.1 | 高危 | 3.9 | 3.4 | MITRE-CVE |
解决方案
更新Symfony HttpFoundation到已修复的版本，确保URL路径以’/‘开头：
- 更新Symfony到版本5.4.50或更高版本
- 更新Symfony到版本6.4.29或更高版本
- 更新Symfony到版本7.3.7或更高版本
参考链接
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/http-foundation/CVE-2025-64500.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2025-64500.yaml
- https://github.com/symfony/symfony/commit/9962b91b12bb791322fa73836b350836b6db7cac
- https://github.com/symfony/symfony/security/advisories/GHSA-3rg7-wf37-54rm
- https://symfony.com/blog/cve-2025-64500-incorrect-parsing-of-path-info-can-lead-to-limited-authorization-bypass
CWE关联
CWE-647：使用非规范URL路径进行授权决策
漏洞时间线
- 发布日期：2025年11月12日
- 最后修改：2025年11月12日
- 远程利用：是
- 来源：security-advisories@github.com