PT-2024-34153 · Symfony+5 · Symfony/Validator+5

Offscriptian · Publicado 2024-08-13 · Atualizado 2025-07-01 · CVE-2024-50343

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas:

symfony/validator versões 5.4.43, 6.4.11 e 7.1.4

Descrição:

O módulo symfony/validator na estrutura PHP Symphony está vulnerável a um problema de contorno de expressão regular. É possível enganar um Validator configurado com uma expressão regular usando os metacaracteres $, com uma entrada terminando em . Esse problema pode ser explorado fornecendo uma entrada especialmente criada. O Symfony agora usa o modificador de expressão regular D para corresponder à entrada inteira.

Recomendações:

Para as versões 5.4.43, 6.4.11 e 7.1.4, atualize para uma versão mais recente que inclua o patch para esta vulnerabilidade.

Como solução temporária, considere configurar o Validator para usar o modificador de expressão regular D para corresponder toda a entrada até que um patch esteja disponível.

Exploit

Correção

DoS

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

BDU:2025-07864

CVE-2024-50343

DLA-4200-1

DSA-5809-1

GHSA-G3RH-RRHP-JHH9

USN-7272-1

Produtos afetados

Astra Linux

Debian

Linuxmint

Red Os

Ubuntu

Symfony/Validator

Referências · 39

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/50xxx/CVE-2024-50343.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2024-50343.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/validator/CVE-2024-50343.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-g3rh-rrhp-jhh9 · Nota
• https://github.com/symfony/symfony/commit/7d1032bbead9a4229b32fa6ebca32681c80cb76f · Nota
• https://ubuntu.com/security/CVE-2024-50340 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50343 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-50345 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-symfony4-cve-204-50342-cve-2024-50340-cve-2024-50343-cve-2024-50345/?sphrase_id=1076496 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-50343 · Nota de Segurança
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-symfony4-cve-204-50342-cve-2024-50340-cve-2024-50343-cve-2024-50345 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-50343 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0421SE17 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2025/05/msg00051.html · Nota