CVE-2026-49210
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność w Symfony UX umożliwia wstrzyknięcie dowolnego kodu HTML, w tym znaczników <script>, podczas ponownego renderowania komponentów Live Component. Dzieje się tak, ponieważ wartość children[id].tag kontrolowana przez klienta jest interpolowana bezpośrednio do HTML bez walidacji lub eskejpowania.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce ofiary (XSS), co prowadzi do kradzieży sesji, przejęcia konta lub modyfikacji treści strony.
Rekomendacja
Należy niezwłocznie zaktualizować Symfony UX do wersji 2.36.0 lub 3.1.0, które zawierają poprawkę eliminującą podatność.
Inne podatności w Symfony UX
Zobacz wszystkie- CVE-2026-49215Średnie
Podatność w Symfony UX umożliwia atak CSRF na komponenty LiveComponent. Mechanizm zabezpieczający opiera się na nagłówku Accept, który może być ustawiony przez atakującego w żądaniu cross-origin bez preflight, co pozwala na wykonanie nieautoryzowanych akcji na sesji ofiary.
- CVE-2026-49212Wysokie
Podatność w Symfony UX pozwala atakującemu na podmianę podpisanego bloku danych między komponentami lub slotami, co umożliwia ustawienie właściwości tylko do odczytu w docelowym komponencie. Problem dotyczy wersji od 2.8.0 do 2.36.0 oraz 3.1.0.
- CVE-2026-49211Wysokie
Podatność w Symfony UX pozwala nieuwierzytelnionym użytkownikom na przekształcenie publicznego endpointu autouzupełniania w szeroki mechanizm dopasowujący lub ślepy oracle boolowski. Problem wynika z braku escapowania znaków wieloznacznych LIKE (% , _ , \) w zapytaniu klienta.
- CVE-2026-49209Średnie
Podatność w Symfony UX pozwala uwierzytelnionemu klientowi na wysłanie pojedynczego żądania _batch z tysiącami akcji, co prowadzi do wyczerpania zasobów serwera (CPU, pamięć, połączenia z bazą danych) poprzez nieograniczoną iterację nad tablicą akcji.
- CVE-2026-49208Średnie
Podatność w Symfony UX pozwala atakującemu na manipulację datami poprzez przesłanie względnych ciągów znaków (np. now, tomorrow, +10 years) do właściwości LiveProp typu DateTimeInterface bez skonfigurowanego formatu. Powoduje to ominięcie kontroli logiki biznesowej opartej na czasie.
- CVE-2026-55878Wysokie
Podatność w Symfony UX pozwala na zapis plików w dowolnej lokalizacji lub odczyt plików poza katalogiem przepisu poprzez spreparowany zestaw przepisów (recipe kit). Problem występuje w komendzie konsolowej ux:install, która używa metody Path::isRelative() akceptującej ścieżki typu ../../../etc.
- CVE-2026-55877Średnie
Podatność w Symfony UX pozwala na atak XSS poprzez funkcję Twig ux_icon(), która oznacza dane jako bezpieczne (is_safe=['html']) i bezpośrednio osadza źródło SVG. Niezabezpieczone lokalne pliki SVG lub odpowiedzi JSON z Iconify mogą zawierać złośliwe skrypty, obsługę zdarzeń lub niebezpieczne schematy URL.
Oryginalny opis (angielski, źródło NVD)
Symfony UX is a JavaScript ecosystem for Symfony. From 2.8.0 until 2.36.0 and 3.1.0, Symfony\UX\LiveComponent\Util\ChildComponentPartialRenderer::createHtml() interpolates the client-controlled children[id].tag value from LiveComponentSubscriber and InterceptChildComponentRenderSubscriber directly into HTML as a tag name without escaping or validation, allowing arbitrary HTML, including <script> tags, on any Live Component re-render that contains at least one child component. This issue is fixed in versions 2.36.0 and 3.1.0.