CVE-2026-45069
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Symfony do wersji 6.4.40, 7.4.12 i 8.0.12, w komponencie OidcTokenHandler, metoda verifyClaims() rejestrowała sprawdzanie aud, iss i exp, ale nie przekazywała obowiązkowej listy roszczeń do ClaimCheckerManager::check(). Umożliwiało to pominięcie weryfikacji tych kluczowych roszczeń w poprawnie podpisanym JWT.
Ocena ryzyka
Atakujący może wykorzystać tę lukę, aby przedstawić token JWT bez wymaganych roszczeń (aud, iss, exp), co może prowadzić do nieautoryzowanego dostępu do zasobów lub podszywania się pod innego użytkownika.
Rekomendacja
Należy niezwłocznie zaktualizować Symfony do wersji 6.4.40, 7.4.12 lub 8.0.12, w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, OidcTokenHandler::verifyClaims() registered audience (aud), issuer (iss), and expiry (exp) checkers but did not pass the mandatory claims list to ClaimCheckerManager::check(), so a validly signed JWT that omitted those claims could pass verification. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.