PT-2026-44150 · Symfony · Symfony

Publicado 2026-05-21 · Atualizado 2026-05-27 · CVE-2026-45305

Positive Technologies (AI Summary) · Pt

CVSS v4.0

2.7

Baixa

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.31

Description A função cleanup() em SymfonyComponentYamlParser contém expressões regulares com quantificadores sobrepostos, especificamente no padrão usado para remover o cabeçalho da diretiva %YAML. Isso leva ao backtracking catastrófico—um estado em que o mecanismo de regex leva um tempo exponencial para processar uma string—ao processar entradas especialmente manipuladas. Um cabeçalho de diretiva, comentário ou linha de marcador de documento excessivamente grande pode fazer com que o parser trave, resultando em uma negação de serviço.

Recommendations Atualize para a versão 5.4.31 ou posterior. Como medida paliativa temporária, restrinja a entrada fornecida à função cleanup() para evitar o processamento de cabeçalhos de diretiva ou comentários excessivamente grandes.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-45305

GHSA-9FRC-8383-795M

Produtos afetados

Symfony

Referências · 13

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/yaml/CVE-2026-45305.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-45305.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-9frc-8383-795m · Nota
• https://github.com/symfony/symfony/commit/9749cd43c5e09b3735093623670b21b9d8a056cb · Nota
• https://symfony.com/blog/cve-2026-45305-yaml-parser-redos-via-catastrophic-backtracking-in-parser-cleanup-regex · Nota
• https://ubuntu.com/security/CVE-2026-45305 · Aviso do Fabricante
• https://symfony.com/cve-2026-45305 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45305 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9frc-8383-795m · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-45305 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-45305 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-45305 · Nota de Segurança