CVE-2026-118513
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w Symfony (wersje przed 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23, 8.x przed 8.1.11) pozwala obejść uwierzytelnianie w X509Authenticator i X509AuthenticationListener. Atakujący posiadający certyfikat z zaufanego CA może wpłynąć na CN i uwierzytelnić się jako dowolny użytkownik, w tym uprzywilejowany. Wynika to z niepełnej poprawki CVE-2026-45063 — wyrażenie regularne nie uwzględnia znaków ucieczki w serializowanym DN.
Ocena ryzyka
Organizacja może zostać narażona na przejęcie konta uprzywilejowanego przez atakującego z ważnym certyfikatem z zaufanego CA, co może prowadzić do eskalacji uprawnień i nieautoryzowanego dostępu do aplikacji.
Rekomendacja
Zaktualizuj Symfony do wersji 5.4.56, 6.4.50, 7.4.23 lub 8.1.11 (lub nowszej). Jeśli to możliwe, skonfiguruj aplikację tak, aby używała klucza użytkownika per atrybut (np. SSL_CLIENT_S_DN_Email) zamiast wyodrębniania z pełnego DN.
Inne podatności w Symfony
Zobacz wszystkie- CVE-2016-4423Wysokie
Funkcja attemptAuthentication w Symfony przed wersją 2.3.41, 2.7.13, 2.8.6 oraz 3.0.6 nie ogranicza długości nazwy użytkownika przechowywanej w sesji. To umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez serię prób uwierzytelnienia z długimi, nieistniejącymi nazwami użytkownika.
- CVE-2016-1902Wysokie
Funkcja nextBytes w klasie SecureRandom w Symfony przed wersją 2.3.37, 2.6.x przed 2.6.13 oraz 2.7.x przed 2.7.9 nie generuje poprawnie liczb losowych, gdy jest używana z PHP 5.x bez biblioteki paragonie/random_compat, a funkcja openssl_random_pseudo_bytes zawodzi.
- CVE-2013-1397Wysokie
Symfony w wersjach 2.0.x przed 2.0.22, 2.1.x przed 2.1.7 oraz 2.2.x jest podatny na zdalne ataki, które umożliwiają wykonanie dowolnego kodu PHP poprzez zserializowany obiekt PHP w funkcjach Yaml::parse lub Yaml\Parser::parse.
- CVE-2013-1348Wysokie
Funkcja Yaml::parse w Symfony 2.0.x przed wersją 2.0.22 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez plik PHP, co stanowi inną podatność niż CVE-2013-1397.
- CVE-2026-47767Krytyczne
Podatność w Symfony umożliwia atakującemu manipulację zmiennymi środowiskowymi APP_ENV i APP_DEBUG poprzez spreparowany ciąg zapytania, który omija mechanizm ochrony wprowadzony w CVE-2024-50340. Problem wynika z rozbieżności między funkcją parse_str() a web SAPI, co pozwala na przekazanie kontrolowanych flag --env lub --no-debug do skryptu.
- CVE-2026-45069Krytyczne
W Symfony do wersji 6.4.40, 7.4.12 i 8.0.12, w komponencie OidcTokenHandler, metoda verifyClaims() rejestrowała sprawdzanie aud, iss i exp, ale nie przekazywała obowiązkowej listy roszczeń do ClaimCheckerManager::check(). Umożliwiało to pominięcie weryfikacji tych kluczowych roszczeń w poprawnie podpisanym JWT.
- CVE-2026-45063Krytyczne
Podatność w Symfony X509Authenticator pozwala atakującemu z zaufanym certyfikatem na podszycie się pod ofiarę poprzez umieszczenie emailAddress= w innej wartości RDN, np. CN, z powodu niezabezpieczonego wyrażenia regularnego.
- CVE-2016-2403Krytyczne
Symfony w wersjach przed 2.8.6 oraz 3.x przed 3.0.6 umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez logowanie się z pustym hasłem i poprawną nazwą użytkownika, co prowadzi do nieautoryzowanego połączenia.
- CVE-2026-48784Średnie
Podatność w Symfony pozwala atakującemu na manipulację ścieżkami URL poprzez kontrolowane parametry trasy. Funkcja UrlGenerator::doGenerate() używa kodowania segmentów kropkowych strtr(), które pomija co drugi segment ../ lub ./ w łańcuchu, co umożliwia generowanie adresów URL, które po normalizacji RFC 3986 wskazują na inną ścieżkę.
- CVE-2026-48761Średnie
W Symfony, frameworku PHP, od wersji 6.1.0 do 6.4.41, 7.4.13 i 8.0.13, funkcja UrlAttributeSanitizer::getSupportedAttributes() nie uwzględniała atrybutów URL w elementach <object>, <applet>, <iframe> i <img>, a adresy URL w <meta http-equiv="refresh"> omijały sanityzację. Umożliwia to wstrzyknięcie javascript: i podobnych ładunków do oczyszczonego wyjścia. Problem naprawiono w wersjach 6.4.41, 7.4.13 i 8.0.13.
Oryginalny opis (angielski, źródło NVD)
Authentication bypass by spoofing in X509Authenticator and X509AuthenticationListener of Symfony versions prior to 5.4.56, 6.x prior to 6.4.50, 7.x prior to 7.4.23, and 8.x prior to 8.1.11 allows an attacker holding a certificate from the application's trusted CA who can influence the CN to authenticate as an arbitrary user of the application, including a privileged one, following an incomplete fix for CVE-2026-45063. X509Authenticator extracts the user identifier from the Subject DN (Distinguished Name) that the web server passes in $_SERVER['SSL_CLIENT_S_DN']. The fix for CVE-2026-45063 anchored that extraction to an RDN (Relative Distinguished Name) boundary, but the regular expression used was not escape-aware. The expression runs against an already serialized DN, so it cannot tell an RDN separator from a separator character that occurs inside a value. Under RFC 2253, used by Apache and by nginx's $ssl_client_s_dn, a comma inside a value is escaped as \, and the expression reads it as a separator regardless. RFC 2253 also does not treat / as a separator, so it leaves it bare inside a value, while the expression treats every / as one. The legacy X509_NAME_oneline() format, used by Apache's LegacyDNStringFormat and by nginx's $ssl_client_s_dn_legacy, is the mirror image: it escapes / as \/ and leaves , bare. In that format, a certificate with no emailAddress attribute, or whose poisoned CN precedes it, authenticates as the smuggled address. To cover both RFC 2253 and the legacy X509_NAME_oneline() format, X509Authenticator and X509AuthenticationListener now split the DN into RDNs before looking for the attribute, instead of matching the attribute against the serialized string. They select the separator from the serialization, split on unescaped occurrences of that separator only, unescape each RDN afterwards with the rules of its format, and require the attribute to span a whole RDN. The accepted value grammar is unchanged. Applications that pass a per-attribute user key (such as SSL_CLIENT_S_DN_Email) and deployments whose CA generates or validates the subject are not affected by this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS