CVE-2026-49211
Təsvir
Symfony UX Symfony üçün JavaScript ekosistemidir. 2.2.0 versiyasından 2.36.0 və 3.1.0 versiyalarına qədər Symfony\UX\Autocomplete\Doctrine\EntitySearchUtil::addSearchClause() autocomplete endpointi tərəfindən istifadə olunan LIKE ifadəsini qurarkən müştəri tərəfindən verilən sorğunu SQL LIKE wildcard simvollarını (%, _, \) escape etmədən %...% içərisinə yerləşdirir və bununla da autentifikasiyadan keçməmiş istifadəçilərə public BaseEntityAutocompleteType endpointini geniş uyğunlaşdırıcıya və ya default searchable_fields daxilindəki hər sütuna qarşı kor boolean oracle-a çevirməyə imkan verir. Bu problem 2.36.0 və 3.1.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- symfony ux2.36.0 və ya daha yeni versiya
- symfony/ux-autocomplete2.36.0, 3.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| symfony ux | 2.2.0 ≤ v < 2.36.0, 3.0.0 | 2.36.0 |
| symfony/ux-autocompletePackagist | 2.2.0 ≤ v < 2.36.0, 3.0.0 ≤ v < 3.1.0 | 2.36.0, 3.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.