PT-2026-45034 · Symfony · Symfony

Publicado 2026-05-21 · Atualizado 2026-05-29 · CVE-2026-47212

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.6

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 6.4.11

Descrição A ponte do notificador de SMS do Twilio contém um analisador de requisições de webhook usado para autenticar e decodificar callbacks de status. A função doParse(Request $request, #[SensitiveParameter] string $secret) recebe um segredo de webhook configurado, mas não o lê nem o verifica, ignorando o cabeçalho HMAC X-Twilio-Signature. Isso permite que um invasor envie requisições POST forjadas para o endpoint do webhook, mesmo quando um segredo de assinatura está configurado, podendo levar a fraudes em métricas de entrega ou gatilhos de automação downstream não autorizados.

Recomendações Atualize para a versão 6.4.11 ou posterior. Para aplicações atrás de um proxy reverso com terminação TLS, configure framework.trusted proxies e framework.trusted headers para garantir que Request::getUri() retorne a URL pública assinada pelo Twilio.

Exploit

Correção

Missing Authentication

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-306

CWE-347

Identificadores relacionados

CVE-2026-47212

GHSA-55RJ-X2VC-4WHQ

Produtos afetados

Symfony

Referências · 13

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-47212.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/twilio-notifier/CVE-2026-47212.yaml · Exploit
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/8545fb2af6c07dfb5ef0fc8d9bccf86db2c94356 · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-55rj-x2vc-4whq · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-47212 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-47212 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-47212 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-55rj-x2vc-4whq · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-47212 · Nota de Segurança
• https://symfony.com/cve-2026-47212 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-47212 · Aviso do Fabricante
• https://symfony.com/blog/cve-2026-47212-twilio-notifier-webhook-parser-never-verifies-the-x-twilio-signature-hmac-unauthenticated-webhook-event-injection · Nota