JavaScript-Injection in auditor-bundle (DoctrineAuditBundle)

Beschreibung

Das auditor-bundle, früher als DoctrineAuditBundle bekannt, integriert die auditor-Bibliothek in Symfony-3.4+-Anwendungen. Vor Version 5.2.6 ermöglicht eine nicht escapte Entity-Eigenschaft eine JavaScript-Injection, da „%source_label%“ in einem Twig-Makro nicht escaped wird und so eingefügte Script-Tags ausgeführt werden. Behoben ist die Schwachstelle in den Versionen 6.0.0 und 5.2.6. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.2.6 oder 6.0.0.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Netwrix Auditor

• Netwrix Auditor Insecure Object Deserialization Vulnerability KEV CVE-2022-31199
• Netwrix Directory Manager: fest codiertes Passwort CVE-2025-48748
• Netwrix Password Secure – OS-Command-Injection CVE-2025-26817
• Netwrix Password Secure – Command Injection CVE-2025-26818
• Netwrix Usercube – Authentifizierungsumgehung an Deployment-Endpunkten CVE-2023-41264
• Netwrix Directory Manager: Einbettung sensibler Informationen in gesendete Daten CVE-2025-48749