CVE-2025-47946

Symfony UX, JavaScript araçlarını uygulamalara entegre etmek için oluşturulmuş bir girişim ve kütüphaneler setidir. Versiyon 2.25.1 öncesinde, `{{ attributes }}` ifadesinin işlenmesi veya `ComponentAttributes` örneği döndüren herhangi bir yöntemin (örneğin `only()`, `defaults()`, `without()`) kullanılması, öznitelik değerlerini kaçış karakterleri olmadan doğrudan çıktı olarak verir. Bu değerler güvenli değilse (örneğin kullanıcı girdisi içeriyorsa), bu durum HTML öznitelik enjeksiyonuna ve XSS zafiyetlerine yol açabilir. Sorun, `symfony/ux-twig-component` paketinin `2.25.1` versiyonunda düzeltilmiştir. `symfony/ux-live-component` kullananların da, `ComponentAttributes` sınıfını dahili olarak yeniden kullandığı için düzeltmeden yararlanmak adına bunu `2.25.1` versiyonuna güncellemeleri gerekir. Geçici bir çözüm olarak, güvenilmeyen değerler içerebilecek durumlarda `{{ attributes }}` veya türetilmiş nesnelerin doğrudan işlenmesinden kaçının. Bunun yerine, tekil özniteliklerin güvenli çıktısı için `{{ attributes.render('name') }}` kullanın.