PT-2026-44728 · Symfony · Symfony

Publicado 2026-05-21 · Atualizado 2026-05-28 · CVE-2026-45756

Positive Technologies (AI Summary) · Pt

CVSS v4.0

2.7

Baixa

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 7.4

Descrição O componente JsonPath contém um problema onde as funções de filtro match() e search() compilam padrões fornecidos pelo usuário diretamente no preg match() sem restrições suficientes de comprimento ou backtracking. Uma aplicação que avalia expressões JSONPath influenciadas por atacantes no lado do servidor pode ser sujeita a um backtracking catastrófico, uma condição em que uma expressão regular complexa leva um tempo exponencial para ser processada, resultando em exaustão de CPU e negação de serviço. Como essas chamadas são suprimidas, os erros não aparecem nos logs.

Recomendações Atualize para a versão 7.4 ou posterior. Como medida paliativa temporária, restrinja o uso de entradas influenciadas por atacantes em expressões JSONPath, evitando especificamente as funções de filtro match() e search().

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-1333

CWE-400

Identificadores relacionados

CVE-2026-45756

GHSA-8V8V-G73J-492J

Produtos afetados

Symfony

Referências · 13

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/json-path/CVE-2026-45756.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-45756.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-8v8v-g73j-492j · Nota
• https://github.com/symfony/symfony/commit/1ac2d47418ec23066112db1e6ca35be6fe123d14 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-45756 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-45756 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45756 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-45756 · Aviso do Fabricante
• https://symfony.com/cve-2026-45756 · Nota
• https://symfony.com/blog/cve-2026-45756-jsonpath-evaluates-attacker-controlled-regular-expressions-in-match-search-without-limits-redos · Nota
• https://osv.dev/vulnerability/GHSA-8v8v-g73j-492j · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-45756 · Aviso do Fabricante