CVE-2026-49216
Açıklama
Symfony UX, Symfony için bir JavaScript ekosistemidir. 2.2.0 ile 2.36.0 ve 3.1.0 arasındaki sürümlerde, symfony/ux-autocomplete içerisindeki Stimulus denetleyicisi, _createAutocompleteWithRemoteData() fonksiyonunda AJAX yanıt öğelerini metin olarak değil, metin alanını HTML şablon literaellerine (<div>${item[labelField]}</div>) yerleştirerek işlemektedir; bu durum, kullanıcı tarafından sağlanan açılır menü değerlerinden gelen saldırgan kontrollü işaretlemelerin, aynı veriyle desteklenen bir otomatik tamamlama bileşenini açan herhangi bir kullanıcının tarayıcısında çalıştırılmasına olanak tanır. Bu sorun 2.36.0 ve 3.1.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- symfony/ux-autocomplete2.36.0, 3.1.0 ya da sonraki bir sürüm
- symfony ux2.36.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| symfony/ux-autocompletePackagist | 2.2.0 ≤ v < 2.36.0, 3.0.0 ≤ v < 3.1.0 | 2.36.0, 3.1.0 |
| symfony ux | 2.2.0 ≤ v < 2.36.0, 3.0.0 | 2.36.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.