CVE-2026-55878
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w Symfony UX pozwala na zapis plików w dowolnej lokalizacji lub odczyt plików poza katalogiem przepisu poprzez spreparowany zestaw przepisów (recipe kit). Problem występuje w komendzie konsolowej ux:install, która używa metody Path::isRelative() akceptującej ścieżki typu ../../../etc.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nadpisania krytycznych plików systemowych lub odczytu poufnych danych, co może prowadzić do przejęcia kontroli nad serwerem lub wycieku informacji.
Rekomendacja
Należy natychmiast zaktualizować Symfony UX do wersji 2.36.1 lub 3.2.0 w zależności od używanej gałęzi. Po aktualizacji zweryfikować integralność plików i skonfigurowanych przepisów.
Inne podatności w Symfony UX
Zobacz wszystkie- CVE-2026-49215Średnie
Podatność w Symfony UX umożliwia atak CSRF na komponenty LiveComponent. Mechanizm zabezpieczający opiera się na nagłówku Accept, który może być ustawiony przez atakującego w żądaniu cross-origin bez preflight, co pozwala na wykonanie nieautoryzowanych akcji na sesji ofiary.
- CVE-2026-49212Wysokie
Podatność w Symfony UX pozwala atakującemu na podmianę podpisanego bloku danych między komponentami lub slotami, co umożliwia ustawienie właściwości tylko do odczytu w docelowym komponencie. Problem dotyczy wersji od 2.8.0 do 2.36.0 oraz 3.1.0.
- CVE-2026-49211Wysokie
Podatność w Symfony UX pozwala nieuwierzytelnionym użytkownikom na przekształcenie publicznego endpointu autouzupełniania w szeroki mechanizm dopasowujący lub ślepy oracle boolowski. Problem wynika z braku escapowania znaków wieloznacznych LIKE (% , _ , \) w zapytaniu klienta.
- CVE-2026-49210Średnie
Podatność w Symfony UX umożliwia wstrzyknięcie dowolnego kodu HTML, w tym znaczników <script>, podczas ponownego renderowania komponentów Live Component. Dzieje się tak, ponieważ wartość children[id].tag kontrolowana przez klienta jest interpolowana bezpośrednio do HTML bez walidacji lub eskejpowania.
- CVE-2026-49209Średnie
Podatność w Symfony UX pozwala uwierzytelnionemu klientowi na wysłanie pojedynczego żądania _batch z tysiącami akcji, co prowadzi do wyczerpania zasobów serwera (CPU, pamięć, połączenia z bazą danych) poprzez nieograniczoną iterację nad tablicą akcji.
- CVE-2026-49208Średnie
Podatność w Symfony UX pozwala atakującemu na manipulację datami poprzez przesłanie względnych ciągów znaków (np. now, tomorrow, +10 years) do właściwości LiveProp typu DateTimeInterface bez skonfigurowanego formatu. Powoduje to ominięcie kontroli logiki biznesowej opartej na czasie.
- CVE-2026-55877Średnie
Podatność w Symfony UX pozwala na atak XSS poprzez funkcję Twig ux_icon(), która oznacza dane jako bezpieczne (is_safe=['html']) i bezpośrednio osadza źródło SVG. Niezabezpieczone lokalne pliki SVG lub odpowiedzi JSON z Iconify mogą zawierać złośliwe skrypty, obsługę zdarzeń lub niebezpieczne schematy URL.
Oryginalny opis (angielski, źródło NVD)
Symfony UX is a JavaScript ecosystem for Symfony. From 2.32.0 before 2.36.1 and from 3.0.0 before 3.2.0, the ux:install console command installs files from a recipe kit by copying paths listed in a copy-files map, and because Path::isRelative() accepts paths like ../../../etc, a crafted or compromised kit can write attacker-controlled content to arbitrary locations or read local files outside the recipe directory. This issue is fixed in versions 2.36.1 and 3.2.0.