CVE-2026-47767
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w Symfony umożliwia atakującemu manipulację zmiennymi środowiskowymi APP_ENV i APP_DEBUG poprzez spreparowany ciąg zapytania, który omija mechanizm ochrony wprowadzony w CVE-2024-50340. Problem wynika z rozbieżności między funkcją parse_str() a web SAPI, co pozwala na przekazanie kontrolowanych flag --env lub --no-debug do skryptu.
Ocena ryzyka
Atakujący może zmienić środowisko wykonawcze aplikacji (np. włączyć tryb debugowania), co może prowadzić do ujawnienia wrażliwych informacji, błędów konfiguracji lub umożliwić dalsze ataki na aplikację.
Rekomendacja
Należy niezwłocznie zaktualizować Symfony do wersji 5.4.52, 6.4.40, 7.4.12 lub 8.0.12 w zależności od używanej gałęzi. Po aktualizacji zaleca się przetestowanie aplikacji pod kątem poprawnego działania.
Oryginalny opis (angielski, źródło NVD)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 5.4.46 until 5.4.52, 6.4.40, 7.4.12, and 8.0.12, the CVE-2024-50340 fix gated runtime argv parsing on empty($_GET), but parse_str() and the web SAPI can disagree, allowing a crafted query string to leave $_GET empty while $_SERVER['argv'] still carries attacker-controlled --env or --no-debug flags that change APP_ENV or APP_DEBUG. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.