CVE-2026-49209
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w Symfony UX pozwala uwierzytelnionemu klientowi na wysłanie pojedynczego żądania _batch z tysiącami akcji, co prowadzi do wyczerpania zasobów serwera (CPU, pamięć, połączenia z bazą danych) poprzez nieograniczoną iterację nad tablicą akcji.
Ocena ryzyka
Atakujący może przeprowadzić atak typu DoS (Denial of Service) na aplikację, powodując jej niedostępność dla innych użytkowników oraz potencjalne przeciążenie bazy danych.
Rekomendacja
Należy niezwłocznie zaktualizować Symfony UX do wersji 2.36.0 lub 3.1.0, w których wprowadzono ograniczenie liczby akcji w żądaniu _batch.
Inne podatności w Symfony UX
Zobacz wszystkie- CVE-2026-49215Średnie
Podatność w Symfony UX umożliwia atak CSRF na komponenty LiveComponent. Mechanizm zabezpieczający opiera się na nagłówku Accept, który może być ustawiony przez atakującego w żądaniu cross-origin bez preflight, co pozwala na wykonanie nieautoryzowanych akcji na sesji ofiary.
- CVE-2026-49212Wysokie
Podatność w Symfony UX pozwala atakującemu na podmianę podpisanego bloku danych między komponentami lub slotami, co umożliwia ustawienie właściwości tylko do odczytu w docelowym komponencie. Problem dotyczy wersji od 2.8.0 do 2.36.0 oraz 3.1.0.
- CVE-2026-49211Wysokie
Podatność w Symfony UX pozwala nieuwierzytelnionym użytkownikom na przekształcenie publicznego endpointu autouzupełniania w szeroki mechanizm dopasowujący lub ślepy oracle boolowski. Problem wynika z braku escapowania znaków wieloznacznych LIKE (% , _ , \) w zapytaniu klienta.
- CVE-2026-49210Średnie
Podatność w Symfony UX umożliwia wstrzyknięcie dowolnego kodu HTML, w tym znaczników <script>, podczas ponownego renderowania komponentów Live Component. Dzieje się tak, ponieważ wartość children[id].tag kontrolowana przez klienta jest interpolowana bezpośrednio do HTML bez walidacji lub eskejpowania.
- CVE-2026-49208Średnie
Podatność w Symfony UX pozwala atakującemu na manipulację datami poprzez przesłanie względnych ciągów znaków (np. now, tomorrow, +10 years) do właściwości LiveProp typu DateTimeInterface bez skonfigurowanego formatu. Powoduje to ominięcie kontroli logiki biznesowej opartej na czasie.
- CVE-2026-55878Wysokie
Podatność w Symfony UX pozwala na zapis plików w dowolnej lokalizacji lub odczyt plików poza katalogiem przepisu poprzez spreparowany zestaw przepisów (recipe kit). Problem występuje w komendzie konsolowej ux:install, która używa metody Path::isRelative() akceptującej ścieżki typu ../../../etc.
- CVE-2026-55877Średnie
Podatność w Symfony UX pozwala na atak XSS poprzez funkcję Twig ux_icon(), która oznacza dane jako bezpieczne (is_safe=['html']) i bezpośrednio osadza źródło SVG. Niezabezpieczone lokalne pliki SVG lub odpowiedzi JSON z Iconify mogą zawierać złośliwe skrypty, obsługę zdarzeń lub niebezpieczne schematy URL.
Oryginalny opis (angielski, źródło NVD)
Symfony UX is a JavaScript ecosystem for Symfony. From 2.5.0 until 2.36.0 and 3.1.0, Symfony\UX\LiveComponent\Controller\BatchActionController::__invoke() iterates over the client-supplied actions array and issues a full HttpKernel sub-request for each entry; because the array size is never bounded, an authenticated client can submit a single _batch request containing thousands of actions and exhaust CPU, memory, and database connections on the application server. This issue is fixed in versions 2.36.0 and 3.1.0.