**Version 2.8.41** (2018-05-25)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

----

**Version 2.8.40** (2018-05-21)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - feature #24896 Add CODE_OF_CONDUCT.md (egircys)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**Version 3.4.11** (2018-05-25)

  - bug #27364 [DI] Fix bad exception on uninitialized     references to non-shared services (nicolas-grekas)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 migrating session for     UsernamePasswordJsonAuthenticationListener

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

  - bug #27341 [WebProfilerBundle] Fixed validator/dump     trace CSS (yceruto)

  - bug #27337 [FrameworkBundle] fix typo in     CacheClearCommand (emilielorenzo)

----

**Version 3.4.10** (2018-05-21)

  - bug #27264 [Validator] Use strict type in URL validator     (mimol91)

  - bug #27267 [DependencyInjection] resolve array env vars     (jamesthomasonjr)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27271 [DI] Allow defining bindings on     ChildDefinition (nicolas-grekas)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #27287 [PropertyInfo] fix resolving parent|self type     hints (nicolas-grekas)

  - bug #27281 [HttpKernel] Fix dealing with self/parent in     ArgumentMetadataFactory (fabpot)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27265 [DI] Shared services should not be inlined in     non-shared ones (nicolas-grekas)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27232 [Cache][Lock] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27191 [DI] Display previous error messages when     throwing unused bindings (nicolas-grekas)

  - bug #27231 [FrameworkBundle] Fix cache:clear on vagrant     (nicolas-grekas)

  - bug #27222 [WebProfilerBundle][Cache] Fix misses     calculation when calling getItems (fsevestre)

  - bug #27227 [HttpKernel] Handle NoConfigurationException     'onKernelException()' (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - bug #27158 [Cache] fix logic for fetching tag versions     on TagAwareAdapter (dmaicher)

  - bug #27143 [Console] By default hide the short exception     trace line from exception messages in Symfony's commands     (yceruto)

  - bug #27133 [Doctrine Bridge] fix priority for doctrine     event listeners (dmaicher)

  - bug #27135 [FrameworkBundle] Use the correct service id     for CachePoolPruneCommand in its compiler pass     (DemonTPx)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**バージョン3.4.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン3.4.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン4.0.11**（2018-05-25）

  - バグ#27364 [DI]非共有サービスへの初期化されていない参照の不適切な例外を修正します（nicolas-grekas）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 UsernamePasswordJsonAuthenticationListener用のセッションの移行

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

  - バグ#27341 [WebProfilerBundle]バリデーター/ダンプトレースCSS（yceruto）を修正しました

  - バグ#27337 [FrameworkBundle] CacheClearCommandの誤字を修正します（emilielorenzo）

----

**バージョン4.0.10**（2018-05-21）

  - バグ#27264 [Validator] URLバリデーターで厳格なタイプを使用します（mimo91）

  - バグ#27267 [DependencyInjection]配列env変数を解決します（jamesthomasonjr）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27271 [DI] ChildDefinitionでバインディングの定義を許可します（nicolas-grekas）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ #27287 [PropertyInfo] parent|selfタイプヒントを解決する修正（nicolas-grekas）

  - バグ #27281 [HttpKernel] ArgumentMetadataFactoryでのself/parentの処理を修正します（fabpot）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ #27265 [DI]共有サービスは、非共有サービスではインライン化すべきではありません（nicolas-grekas）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27232 [Cache][Lock] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27191 [DI]未使用のバインディングをスローする際に以前のエラーメッセージを表示します（nicolas-grekas）

  - バグ#27231 [FrameworkBundle] vagrant上のcache: clearを修正します（nicolas-grekas）

  - バグ#27222 [WebProfilerBundle] [Cache] getItemsを呼び出す際の計算ミスを修正します（fsevestre）

  - バグ#27227 [HttpKernel] NoConfigurationException「onKernelException()」を処理します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - バグ#27158 [Cache] TagAwareAdapterでタグバージョンをフェッチするためのロジックを修正します（dmacher）

  - バグ#27143 [Console]デフォルトでは、Symfonyのコマンドの例外メッセージから短い例外トレース行を非表示にします（yceruto）

  - バグ#27133 [Doctrine Bridge] doctrineイベントリスナーの優先度を修正します（dmicher）

  - バグ#27135 [FrameworkBundle]コンパイラパスでCachePoolPruneCommandに正しいサービスIDを使用します（DemonTPx）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

**バージョン2.8.41**（2018-05-25）

  - バグ#27359 [HttpFoundation] MimeTypeGuesserの初期化中のperf問題を修正します（nicolas-grekas）

  - セキュリティ＃cve-2018-11408 [SecurityBundle] security.http_utilsを構成できない場合に失敗します

  - セキュリティ＃cve-2018-11406 ユーザーがログアウトしたときにCSRFトークンをクリアします

  - セキュリティ＃cve-2018-11385 Guardにセッション認証戦略を追加して、セッション固定を回避します

  - セキュリティ＃cve-2018-11385 すべてのリスナーにセッション戦略を追加し、起こり得るすべての固定を回避します

  - セキュリティ＃cve-2018-11386 [HttpFoundation] MySQLがルーズモードのときにPdoSessionHandlerの無限ループを抜けます

----

**バージョン2.8.40**（2018-05-21）

  - バグ#26781 [Form] transform()での、MoneyToLocalizedStringTransformerの除算の精度を修正します（syastrebov）

  - バグ#27286 [Translation] Occitan複数形ルールを追加します（kylekatarnls）

  - バグ#27246 session.nameで無効な文字を許可しません（ostrolucy）

  - バグ#24805 [Translation] ログアウトを修正します（MatTheCat）

  - バグ#27141 [Process] open_basedirが空でない場合に警告を抑制します（cbj4074）

  - バグ#27250 [Session] 制限：64文字以下のGET_LOCKのキー（oleg-andreyev）

  - バグ#27237 [Debug] 処理されたサイレントエラーに対するerror_get_last()の入力を修正します（nicolas-grekas）

  - バグ#27236 [Filesystem] error_get_last()の使用方法を修正します（nicolas-grekas）

  - バグ#27152 [HttpFoundation] ブレーススタイルの正規表現区切り文字を使用します（xabbuh）

  - 機能#24896 CODE_OF_CONDUCT.mdを追加します（egircys）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Several security vulnerabilities have been discovered in symfony, a PHP web application framework. Numerous symfony components are affected: Security, bundle readers, session handling, SecurityBundle, HttpFoundation, Form, and Security\Http.

The corresponding upstream advisories contain further details :

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http

For Debian 8 'Jessie', these problems have been fixed in version 2.3.21+dfsg-4+deb8u4.

We recommend that you upgrade your symfony packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The security handlers in the Security component in Symfony in 2.7.x before 2.7.48, 2.8.x before 2.8.41,     3.3.x before 3.3.17, 3.4.x before 3.4.11, and 4.0.x before 4.0.11 have an Open redirect vulnerability when     security.http_utils is inlined by a container. NOTE: this issue exists because of an incomplete fix for     CVE-2017-16652. (CVE-2018-11408)

Note that Nessus relies on the presence of the package as reported by the vendor.

PHPのWebアプリケーションフレームワークであるsymfonyにいくつかのセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: セキュリティ、バンドルリーダー、セッション処理、SecurityBundle、HttpFoundation、Form、Security\Http。

対応するアップストリームアドバイザリには、次の詳細が含まれています:

[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on
-security-handlers

[CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-out-of-paths

[CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-guard-authentication

[CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on
-security-handlers

[CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and-risky-http-headers

[CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-full-path

[CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-when-using-security-http

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u4で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 PHP Web 应用程序框架 symfony 中，已发现多个安全漏洞。多个 symfony 组件受到影响：Security、bundle readers、session handling、SecurityBundle、HttpFoundation、Form 和 Security\Http。相应的上游公告包含更详细的信息：[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on -security-handlers [CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths [CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication [CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on -security-handlers [CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers [CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path [CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http 对于 Debian 8“Jessie”，这些问题已在 2.3.21+dfsg-4+deb8u4 版本中修复。我们建议您升级 symfony 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前的 2.7.x2.7.48、 之前的 2.8.x ]、 之前的 2.8.41、 之前的 3.3.173.3.x 、之前的 3.4.x3.4.11以及 之前 4.0.x 的 4.0.11 中 Security 组件内的安全处理程序在 security.http_utils 访问时存在一个开放重定向漏洞。由容器内联。注意：存在此问题的原因是对 CVE-2017-16652 的修复不完整。(CVE-2018-11408)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.7.x ] より前の 2.7.48、 2.8.x より前の 2.8.41、 3.3.x より前の 3.3.17、[] より前の 3.4.11]、 3.4.x4.0.x より前の 4.0.11 の Symfony のセキュリティハンドラーには、security.http_utils の場合にオープンリダイレクトの脆弱性があります。は、コンテナによってインライン化されています。注意: この問題は、CVE-2017-16652 に対する修正が不完全なために存在します。(CVE-2018-11408)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

在 PHP web 應用程式架構 symfony 中發現數個安全性弱點。多個 symfony 元件受到影響：安全性、套件組合讀取器、工作階段處理、SecurityBundle、HttpFoundation、Form 和 Security\Http。對應的上游公告包含進一步詳細資料：[CVE-2017-16652] https://symfony.com/blog/cve-2017-16652-open-redirect-vulnerability-on -security-handlers [CVE-2017-16654] https://symfony.com/blog/cve-2017-16654-intl-bundle-readers-breaking-o ut-of-paths [CVE-2018-11385] https://symfony.com/blog/cve-2018-11385-session-fixation-issue-for-gua rd-authentication [CVE-2018-11408] https://symfony.com/blog/cve-2018-11408-open-redirect-vulnerability-on -security-handlers [CVE-2018-14773] https://symfony.com/blog/cve-2018-14773-remove-support-for-legacy-and- risky-http-headers [CVE-2018-19789] https://symfony.com/blog/cve-2018-19789-disclosure-of-uploaded-files-f ull-path [CVE-2018-19790] https://symfony.com/blog/cve-2018-19790-open-redirect-vulnerability-wh en-using-security-http 針對 Debian 8「Jessie」，這些問題已在 2.3.21+dfsg-4+deb8u4 版本中修正。建議您升級 symfony 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 2.7.x2.7.48] 之前的  、 2.8.x 之前的 2.8.41、 3.3.x 之前的 3.3.17、 3.4.x3.4.11之前的 [] 以及 4.0.x 之前的 4.0.11 中當 security.http_utils 時Symfony Security 元件的安全性處置程式有一個開放重新導向弱點由容器內嵌。注意：此問題之所以存在，是因為 CVE-2017-16652 的修正不完整。(CVE-2018-11408)

請注意，Nessus 依賴供應商報告的套件存在。

**Version 4.0.11** (2018-05-25)

  - bug #27364 [DI] Fix bad exception on uninitialized     references to non-shared services (nicolas-grekas)

  - bug #27359 [HttpFoundation] Fix perf issue during     MimeTypeGuesser intialization (nicolas-grekas)

  - security #cve-2018-11408 [SecurityBundle] Fail if     security.http_utils cannot be configured

  - security #cve-2018-11406 clear CSRF tokens when the user     is logged out

  - security #cve-2018-11385 migrating session for     UsernamePasswordJsonAuthenticationListener

  - security #cve-2018-11385 Adding session authentication     strategy to Guard to avoid session fixation

  - security #cve-2018-11385 Adding session strategy to ALL     listeners to avoid *any* possible fixation

  - security #cve-2018-11386 [HttpFoundation] Break infinite     loop in PdoSessionHandler when MySQL is in loose mode

  - bug #27341 [WebProfilerBundle] Fixed validator/dump     trace CSS (yceruto)

  - bug #27337 [FrameworkBundle] fix typo in     CacheClearCommand (emilielorenzo)

----

**Version 4.0.10** (2018-05-21)

  - bug #27264 [Validator] Use strict type in URL validator     (mimol91)

  - bug #27267 [DependencyInjection] resolve array env vars     (jamesthomasonjr)

  - bug #26781 [Form] Fix precision of     MoneyToLocalizedStringTransformer's divisions on     transform() (syastrebov)

  - bug #27286 [Translation] Add Occitan plural rule     (kylekatarnls)

  - bug #27271 [DI] Allow defining bindings on     ChildDefinition (nicolas-grekas)

  - bug #27246 Disallow invalid characters in session.name     (ostrolucky)

  - bug #27287 [PropertyInfo] fix resolving parent|self type     hints (nicolas-grekas)

  - bug #27281 [HttpKernel] Fix dealing with self/parent in     ArgumentMetadataFactory (fabpot)

  - bug #24805 [Security] Fix logout (MatTheCat)

  - bug #27265 [DI] Shared services should not be inlined in     non-shared ones (nicolas-grekas)

  - bug #27141 [Process] Suppress warnings when open_basedir     is non-empty (cbj4074)

  - bug #27250 [Session] limiting :key for GET_LOCK to 64     chars (oleg-andreyev)

  - bug #27237 [Debug] Fix populating error_get_last() for     handled silent errors (nicolas-grekas)

  - bug #27232 [Cache][Lock] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27236 [Filesystem] Fix usages of error_get_last()     (nicolas-grekas)

  - bug #27191 [DI] Display previous error messages when     throwing unused bindings (nicolas-grekas)

  - bug #27231 [FrameworkBundle] Fix cache:clear on vagrant     (nicolas-grekas)

  - bug #27222 [WebProfilerBundle][Cache] Fix misses     calculation when calling getItems (fsevestre)

  - bug #27227 [HttpKernel] Handle NoConfigurationException     'onKernelException()' (nicolas-grekas)

  - bug #27152 [HttpFoundation] use brace-style regex     delimiters (xabbuh)

  - bug #27158 [Cache] fix logic for fetching tag versions     on TagAwareAdapter (dmaicher)

  - bug #27143 [Console] By default hide the short exception     trace line from exception messages in Symfony's commands     (yceruto)

  - bug #27133 [Doctrine Bridge] fix priority for doctrine     event listeners (dmaicher)

  - bug #27135 [FrameworkBundle] Use the correct service id     for CachePoolPruneCommand in its compiler pass     (DemonTPx)

  - feature #24896 Add CODE_OF_CONDUCT.md (egircys)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名稱	產品	系列	已發布	已更新	嚴重性
120881	Fedora 28 : php-symfony (2018-eba0006df2)	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	high
120738	Fedora 28 : php-symfony3 (2018-ba0b683c10)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	high
120738	Fedora 28：php-symfony3 (2018-ba0b683c10)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	high
120636	Fedora 28：php-symfony4（2018-96d770ddc9）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/2	high
120881	Fedora 28：php-symfony（2018-eba0006df2）	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	high
122721	Debian DLA-1707-1 : symfony security update	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
254162	Linux Distros Unpatched Vulnerability : CVE-2018-11408	Nessus	Misc.	2025/8/24	2025/8/24	medium
122721	DebianDLA-1707-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
122721	Debian DLA-1707-1：symfony 安全更新	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
254162	Linux Distros 未修补的漏洞：CVE-2018-11408	Nessus	Misc.	2025/8/24	2025/8/24	medium
254162	Linux Distros のパッチ未適用の脆弱性: CVE-2018-11408	Nessus	Misc.	2025/8/24	2025/8/24	medium
122721	Debian DLA-1707-1：symfony 安全性更新	Nessus	Debian Local Security Checks	2019/3/11	2025/3/20	high
254162	Linux Distros 未修補的弱點：CVE-2018-11408	Nessus	Misc.	2025/8/24	2025/8/24	medium
120636	Fedora 28 : php-symfony4 (2018-96d770ddc9)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/2	high

偵測

搜尋 Plugin

high

high

high

high

high

high

medium

high

high

medium

medium

high

medium

high