PT-2026-44140 · Symfony · Dom-Crawler

CVE-2026-45071 · Publicado 2026-05-21 · Atualizado 2026-07-17

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas symfony/dom-crawler (versões afetadas não especificadas)

Descrição A função Crawler::addXmlContent() no symfony/dom-crawler define DOMDocument::$validateOnParse como verdadeiro antes de chamar loadXML(). Esta ação reativa o processamento de subconjuntos DTD do libxml, o que permite a resolução de entidades externas. Embora o LIBXML NONET seja utilizado para bloquear buscas na rede, ele não impede a resolução de entidades file://. Consequentemente, um invasor pode fornecer um documento XML manipulado contendo uma entidade SYSTEM "file:///etc/passwd" para realizar a divulgação de arquivos locais.

Recomendações Atualize para uma versão onde o método Crawler::addXmlContent() não defina mais a flag validateOnParse.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2026-45071

GHSA-X6G4-FWCC-JJ8W

Produtos afetados

Dom-Crawler

Referências · 21

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45071.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-45071.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/dom-crawler/CVE-2026-45071.yaml · Exploit
• https://github.com/symfony/symfony/commit/eea5fd7488cbdc241da4ce242344b7d9a3ecdf3d · Correção
• https://github.com/symfony/symfony/releases/tag/v5.4.52 · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-x6g4-fwcc-jj8w · Aviso do Fabricante
• https://github.com/symfony/symfony/releases/tag/v6.4.40 · Nota
• https://github.com/symfony/symfony/releases/tag/v7.4.12 · Nota
• https://github.com/symfony/symfony/releases/tag/v8.0.12 · Nota
• https://github.com/symfony/symfony · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45071 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-45071 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-45071 · Aviso do Fabricante
• https://symfony.com/cve-2026-45071 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-45071 · Aviso do Fabricante