PT-2026-44137 · Symfony · Symfony/Mailer

CVE-2026-45068 · Publicado 2026-05-21 · Atualizado 2026-07-15

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Symfony Mailer (versões afetadas não especificadas)

Description Ao usar o SendmailTransport no modo -t, os endereços dos destinatários são anexados à linha de comando do sendmail sem um separador de fim de opções --. Como o SymfonyComponentMimeAddress aceita endereços que começam com um hífen, um endereço de destinatário iniciado por - pode ser interpretado pelo binário sendmail como uma opção de linha de comando em vez de um endereço de e-mail. Isso ocorre quando o transporte é configurado por meio da variável de ambiente MAILER DSN.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2026-45068

GHSA-XX3C-QF5G-HC39

Produtos afetados

Symfony/Mailer

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45068.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/mailer/CVE-2026-45068.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-45068.yaml · Exploit
• https://github.com/symfony/symfony/commit/c45144862dc289d03952f41f6078174089a3afc6 · Correção
• https://github.com/symfony/symfony/releases/tag/v7.4.12 · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-xx3c-qf5g-hc39 · Aviso do Fabricante
• https://github.com/symfony/symfony/releases/tag/v6.4.40 · Nota
• https://github.com/symfony/symfony/releases/tag/v5.4.52 · Nota
• https://github.com/symfony/symfony/releases/tag/v8.0.12 · Nota
• https://github.com/symfony/symfony · Nota
• https://ubuntu.com/security/CVE-2026-45068 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2077429846410453340 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-45068 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45068 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-45068 · Aviso do Fabricante