PT-2026-51050 · Symfony · Symfony Ux Live

Publicado 2026-06-19 · Atualizado 2026-06-19 · CVE-2026-49209

Positive Technologies (AI Summary) · Pt

CVSS v4.0

1.3

Baixa

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U

Nome do Software Vulnerável e Versões Afetadas Symfony UX Live Component versões anteriores a 2.x Symfony UX Live Component versões anteriores a 3.x

Description A função BatchActionController:: invoke() itera sobre um array actions fornecido pelo cliente e emite uma sub-requisição HttpKernel completa para cada entrada, envolvendo assinantes de eventos, validadores, Doctrine e renderização. Como o tamanho do array não é limitado, um cliente autenticado pode enviar uma única requisição batch contendo milhares de ações, levando ao esgotamento de CPU, memória e conexões de banco de dados no servidor da aplicação, resultando em Negação de Serviço.

Recommendations Atualize para a versão corrigida do branch 2.x. Atualize para a versão corrigida do branch 3.x.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-49209

GHSA-MM82-C99C-H2CF

Produtos afetados

Symfony Ux Live

Referências · 6

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/ux-live-component/CVE-2026-49209.yaml · Exploit
• https://github.com/symfony/ux/security/advisories/GHSA-mm82-c99c-h2cf · Nota
• https://github.com/symfony/ux/commit/95e878d5257f13d6d652ca95e3ef6bb0934d674f · Nota
• https://github.com/symfony/ux · Nota
• https://twitter.com/dailycve/status/2068092686582649252 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mm82-c99c-h2cf · Aviso do Fabricante