PT-2026-51055 · Symfony · Ux-Autocomplete

Publicado 2026-06-19 · Atualizado 2026-06-19 · CVE-2026-49216

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas symfony/ux-autocomplete versões anteriores a 2.x symfony/ux-autocomplete versões anteriores a 3.x

Description O controlador Stimulus no software renderiza itens de resposta AJAX em um menu suspenso interpolando o campo text diretamente em literais de modelo HTML dentro da função createAutocompleteWithRemoteData(). Como o valor é interpretado como HTML em vez de texto, qualquer marcação na resposta AJAX é executada pelo navegador. Isso permite que um invasor crie strings usando conteúdo fornecido pelo usuário para disparar Cross-Site Scripting (XSS) armazenado, que é uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo e executados nos navegadores de outros usuários.

Recommendations Atualize para a versão corrigida do branch 2.x. Atualize para a versão corrigida do branch 3.x.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-49216

GHSA-MWQM-4FW3-CJVR

Produtos afetados

Ux-Autocomplete

Referências · 6

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/ux-autocomplete/CVE-2026-49216.yaml · Exploit
• https://github.com/symfony/ux/commit/842ae54bc74de389299f975f01aafae272cb0019 · Nota
• https://github.com/symfony/ux · Nota
• https://github.com/symfony/ux/security/advisories/GHSA-mwqm-4fw3-cjvr · Nota
• https://twitter.com/dailycve/status/2068097213893410912 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mwqm-4fw3-cjvr · Aviso do Fabricante