CVE-2026-109449
Açıklama
Symfony Expression Language'in 5.4.54, 6.4.48, 7.4.21 ve 8.1.9 öncesindeki sürümlerinde, ExpressionLanguage bileşeninin ayrıştırıcısı düğüm ağacını derinlik sınırı olmaksızın oluşturmaktaydı. On binlerce iç içe geçmiş tekli operatör, dizi sabitleri, ikili operatör veya özellik erişiminden oluşan bir ifade, ağaç serbest bırakılırken PHP işleminin çökmesine neden oluyordu. #[Assert\ExpressionSyntax], doğrulanmış değeri ExpressionLanguage::lint() fonksiyonuna ilettiğinden, kullanıcıları tarafından yazılan ifadeleri doğrulayan bir uygulama tek bir istek ile çöktürülebilir; aynı şekilde güvenilmeyen ifadeleri ayrıştıran herhangi bir kod da benzer şekilde etkilenebilirdi. Bu sorun symfony/expression-language v5.4.53'e kadar olan sürümleri, v6.0.0-BETA1'den v6.4.47'ye kadar olan sürümleri, v7.0.0-BETA1'den v7.4.20'ye kadar olan sürümleri ve v8.0.0-BETA1'den v8.1.8'e kadar olan sürümleri etkilemektedir.
Nasıl düzeltilir
- sensiolabs symfonyv5.4.54, v6.4.48, v7.4.21, v8.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sensiolabs symfony | v < v5.4.54, v6.0.0-BETA1 ≤ v < v6.4.48, v7.0.0-BETA1 ≤ v < v7.4.21, v8.0.0-BETA1 ≤ v < v8.1.9 | v5.4.54, v6.4.48, v7.4.21, v8.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.