CVE-2026-49208
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w Symfony UX pozwala atakującemu na manipulację datami poprzez przesłanie względnych ciągów znaków (np. now, tomorrow, +10 years) do właściwości LiveProp typu DateTimeInterface bez skonfigurowanego formatu. Powoduje to ominięcie kontroli logiki biznesowej opartej na czasie.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia ograniczeń czasowych w aplikacji, co może prowadzić do nieautoryzowanego dostępu do funkcji lub danych, które powinny być dostępne tylko w określonym czasie.
Rekomendacja
Zaleca się natychmiastową aktualizację Symfony UX do wersji 2.36.0 lub 3.1.0, które zawierają poprawkę eliminującą tę podatność.
Inne podatności w Symfony UX
Zobacz wszystkie- CVE-2026-49215Średnie
Podatność w Symfony UX umożliwia atak CSRF na komponenty LiveComponent. Mechanizm zabezpieczający opiera się na nagłówku Accept, który może być ustawiony przez atakującego w żądaniu cross-origin bez preflight, co pozwala na wykonanie nieautoryzowanych akcji na sesji ofiary.
- CVE-2026-49212Wysokie
Podatność w Symfony UX pozwala atakującemu na podmianę podpisanego bloku danych między komponentami lub slotami, co umożliwia ustawienie właściwości tylko do odczytu w docelowym komponencie. Problem dotyczy wersji od 2.8.0 do 2.36.0 oraz 3.1.0.
- CVE-2026-49211Wysokie
Podatność w Symfony UX pozwala nieuwierzytelnionym użytkownikom na przekształcenie publicznego endpointu autouzupełniania w szeroki mechanizm dopasowujący lub ślepy oracle boolowski. Problem wynika z braku escapowania znaków wieloznacznych LIKE (% , _ , \) w zapytaniu klienta.
- CVE-2026-49210Średnie
Podatność w Symfony UX umożliwia wstrzyknięcie dowolnego kodu HTML, w tym znaczników <script>, podczas ponownego renderowania komponentów Live Component. Dzieje się tak, ponieważ wartość children[id].tag kontrolowana przez klienta jest interpolowana bezpośrednio do HTML bez walidacji lub eskejpowania.
- CVE-2026-49209Średnie
Podatność w Symfony UX pozwala uwierzytelnionemu klientowi na wysłanie pojedynczego żądania _batch z tysiącami akcji, co prowadzi do wyczerpania zasobów serwera (CPU, pamięć, połączenia z bazą danych) poprzez nieograniczoną iterację nad tablicą akcji.
- CVE-2026-55878Wysokie
Podatność w Symfony UX pozwala na zapis plików w dowolnej lokalizacji lub odczyt plików poza katalogiem przepisu poprzez spreparowany zestaw przepisów (recipe kit). Problem występuje w komendzie konsolowej ux:install, która używa metody Path::isRelative() akceptującej ścieżki typu ../../../etc.
- CVE-2026-55877Średnie
Podatność w Symfony UX pozwala na atak XSS poprzez funkcję Twig ux_icon(), która oznacza dane jako bezpieczne (is_safe=['html']) i bezpośrednio osadza źródło SVG. Niezabezpieczone lokalne pliki SVG lub odpowiedzi JSON z Iconify mogą zawierać złośliwe skrypty, obsługę zdarzeń lub niebezpieczne schematy URL.
Oryginalny opis (angielski, źródło NVD)
Symfony UX is a JavaScript ecosystem for Symfony. From 2.8.0 until 2.36.0 and 3.1.0, when a #[LiveProp] is typed as DateTimeInterface and no explicit format is configured, Symfony\UX\LiveComponent\LiveComponentHydrator::hydrateObjectValue() falls back to new $className($value), allowing client-supplied relative strings such as now, tomorrow, or +10 years to move a writable, format-less date prop past time-based business logic checks. This issue is fixed in versions 2.36.0 and 3.1.0.