"value":"An issue was discovered in Symfony 2.7.x before 2.7.50, 2.8.x before 2.8.49, 3.x before 3.4.20, 4.0.x before 4.0.15, 4.1.x before 4.1.9, and 4.2.x before 4.2.1. When using the scalar type hint `string` in a setter method (e.g. `setName(string $name)`) of a class that's the `data_class` of a form, and when a file upload is submitted to the corresponding field instead of a normal text input, then `UploadedFile::__toString()` is called which will then return and disclose the path of the uploaded file. If combined with a local file inclusion issue in certain circumstances this could escalate it to a Remote Code Execution."
},
{
"lang":"es",
"value":"Se ha descubierto un problema en Symfony en versiones 2.7.x anteriores a la 2.7.50, versiones 2.8.x anteriores a la 2.8.49, versiones 3.x anteriores a la 3.4.20, versiones 4.0.x anteriores a la 4.0.15, versiones 4.1.x anteriores a la 4.1.9 y versiones 4.2.x anteriores a la 4.2.1. Al emplear la lista de ripo escalar \"string\" en un m\u00e9todo setter (por ejemplo, \"setName(string $name)\") de una clase que es el \"data_class\" de un formulario, y cuando se env\u00eda una subida de archivos al campo correspondiente en lugar de una entrada de texto normal, se llama a \"UploadedFile::__toString()\", lo que devolver\u00e1 y revelar\u00e1 la ruta del archivo subido. En determinadas circunstancias, si se combina con un problema de inclusi\u00f3n de archivos locales, podr\u00eda escalarse a una ejecuci\u00f3n remota de c\u00f3digo."
