CVE-2026-49216
Təsvir
Symfony UX, Symfony üçün JavaScript ekosistemidir. 2.2.0 versiyasından 2.36.0-a qədər və həmçinin 3.1.0 versiyasında, symfony/ux-autocomplete daxilindəki Stimulus kontrolleri _createAutocompleteWithRemoteData() funksiyasında AJAX cavab elementlərini mətn kimi deyil, mətn sahəsini HTML şablon literallarına (<div>${item[labelField]}</div>) interpolasiya edərək render edir. Bu, hücumçu tərəfindən idarə olunan markapın istifadəçi tərəfindən təmin edilən açılan siyahı dəyərləri vasitəsilə eyni məlumatlara əsaslanan avtomatik tamamlama vidcetini açan istənilən istifadəçinin brauzerində icra olunmasına şərait yaradır. Bu problem 2.36.0 və 3.1.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- symfony/ux-autocomplete2.36.0, 3.1.0 və ya daha yeni versiya
- symfony ux2.36.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| symfony/ux-autocompletePackagist | 2.2.0 ≤ v < 2.36.0, 3.0.0 ≤ v < 3.1.0 | 2.36.0, 3.1.0 |
| symfony ux | 2.2.0 ≤ v < 2.36.0, 3.0.0 | 2.36.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.