CVE-2026-45067
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Symfony Address pozwala na wstrzyknięcie nagłówków wiadomości e-mail lub komend SMTP poprzez specjalnie spreparowany adres e-mail z cytowanym lokalnym fragmentem zawierającym znaki nowej linii. Konstruktor klasy Address nie odrzucał adresów zawierających CRLF, co umożliwiało atakującemu manipulację treścią wiadomości lub protokołem SMTP.
Ocena ryzyka
Ryzyko polega na możliwości wysłania wiadomości e-mail z fałszywymi nagłówkami (np. Bcc) lub wykonania nieautoryzowanych komend SMTP, co może prowadzić do naruszenia poufności, integralności lub dostępności systemu pocztowego organizacji.
Rekomendacja
Należy natychmiast zaktualizować Symfony do wersji zawierającej poprawkę (commit dc2dbd29211eb4ddc451373fa1374fb926e94604 dla gałęzi 5.4) lub zastosować łatkę ręcznie, aby uniemożliwić akceptację adresów z łamaniami linii.
Inne podatności w Symfony
Zobacz wszystkie- CVE-2016-4423Wysokie
Funkcja attemptAuthentication w Symfony przed wersją 2.3.41, 2.7.13, 2.8.6 oraz 3.0.6 nie ogranicza długości nazwy użytkownika przechowywanej w sesji. To umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez serię prób uwierzytelnienia z długimi, nieistniejącymi nazwami użytkownika.
- CVE-2016-1902Wysokie
Funkcja nextBytes w klasie SecureRandom w Symfony przed wersją 2.3.37, 2.6.x przed 2.6.13 oraz 2.7.x przed 2.7.9 nie generuje poprawnie liczb losowych, gdy jest używana z PHP 5.x bez biblioteki paragonie/random_compat, a funkcja openssl_random_pseudo_bytes zawodzi.
- CVE-2013-1397Wysokie
Symfony w wersjach 2.0.x przed 2.0.22, 2.1.x przed 2.1.7 oraz 2.2.x jest podatny na zdalne ataki, które umożliwiają wykonanie dowolnego kodu PHP poprzez zserializowany obiekt PHP w funkcjach Yaml::parse lub Yaml\Parser::parse.
- CVE-2013-1348Wysokie
Funkcja Yaml::parse w Symfony 2.0.x przed wersją 2.0.22 pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez plik PHP, co stanowi inną podatność niż CVE-2013-1397.
- CVE-2026-47767Krytyczne
Podatność w Symfony umożliwia atakującemu manipulację zmiennymi środowiskowymi APP_ENV i APP_DEBUG poprzez spreparowany ciąg zapytania, który omija mechanizm ochrony wprowadzony w CVE-2024-50340. Problem wynika z rozbieżności między funkcją parse_str() a web SAPI, co pozwala na przekazanie kontrolowanych flag --env lub --no-debug do skryptu.
- CVE-2026-45069Krytyczne
W Symfony do wersji 6.4.40, 7.4.12 i 8.0.12, w komponencie OidcTokenHandler, metoda verifyClaims() rejestrowała sprawdzanie aud, iss i exp, ale nie przekazywała obowiązkowej listy roszczeń do ClaimCheckerManager::check(). Umożliwiało to pominięcie weryfikacji tych kluczowych roszczeń w poprawnie podpisanym JWT.
- CVE-2026-45063Krytyczne
Podatność w Symfony X509Authenticator pozwala atakującemu z zaufanym certyfikatem na podszycie się pod ofiarę poprzez umieszczenie emailAddress= w innej wartości RDN, np. CN, z powodu niezabezpieczonego wyrażenia regularnego.
- CVE-2016-2403Krytyczne
Symfony w wersjach przed 2.8.6 oraz 3.x przed 3.0.6 umożliwia zdalnym atakującym ominięcie uwierzytelnienia poprzez logowanie się z pustym hasłem i poprawną nazwą użytkownika, co prowadzi do nieautoryzowanego połączenia.
- CVE-2026-48784Średnie
Podatność w Symfony pozwala atakującemu na manipulację ścieżkami URL poprzez kontrolowane parametry trasy. Funkcja UrlGenerator::doGenerate() używa kodowania segmentów kropkowych strtr(), które pomija co drugi segment ../ lub ./ w łańcuchu, co umożliwia generowanie adresów URL, które po normalizacji RFC 3986 wskazują na inną ścieżkę.
- CVE-2026-48761Średnie
W Symfony, frameworku PHP, od wersji 6.1.0 do 6.4.41, 7.4.13 i 8.0.13, funkcja UrlAttributeSanitizer::getSupportedAttributes() nie uwzględniała atrybutów URL w elementach <object>, <applet>, <iframe> i <img>, a adresy URL w <meta http-equiv="refresh"> omijały sanityzację. Umożliwia to wstrzyknięcie javascript: i podobnych ładunków do oczyszczonego wyjścia. Problem naprawiono w wersjach 6.4.41, 7.4.13 i 8.0.13.
Oryginalny opis (angielski, źródło NVD)
### Description `Symfony\Component\Mime\Address` is the value-object every Symfony Mailer address (to/cc/bcc/from/reply-to) flows through; its constructor is documented as validating the address and throwing on invalid input, so developers treat it as a security boundary. The constructor accepts email addresses whose local-part (the part before `@`) is an RFC-5322 *quoted string* containing raw `\r\n` bytes — e.g. `"x\r\nBcc: attacker@evil"@example.com`. The stored address is later emitted verbatim into (1) the rendered message headers and (2) `SmtpTransport`'s `MAIL FROM:<...>` / `RCPT TO:<...>` protocol lines, turning the embedded CRLF into a new mail header and/or a new SMTP command. ### Resolution The `Address` constructor now rejects addresses containing line breaks. The patch for this issue is available [here](https://github.com/symfony/symfony/commit/dc2dbd29211eb4ddc451373fa1374fb926e94604) for branch 5.4. ### Credits We would like to thank Claude Mythos Preview (via Project Glasswing) for reporting the issue and providing the fix.