جزئیات آسیب‌پذیری
CVE-2026-45305
symfony symfonysymfony yaml
Symfony: YAML Parser ReDoS via Catastrophic Backtracking in Parser::cleanup() Regex
CVSS 4.0
8.7بالا
شرح رسمی (انگلیسی)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Symfony\Component\Yaml\Parser::cleanup() used regular expressions with overlapping quantifiers for YAML directive, comment, and document marker cleanup, allowing crafted input to make parsing hang for an arbitrarily long time. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| symfony | symfony | < 5.4.52 | CVEProject cvelistV5 (CNA) |
| symfony | symfony | >= 6.0.0-BETA1, < 6.4.40 | CVEProject cvelistV5 (CNA) |
| symfony | symfony | >= 7.0.0-BETA1, < 7.4.12 | CVEProject cvelistV5 (CNA) |
| symfony | symfony | >= 8.0.0-BETA1, < 8.0.12 | CVEProject cvelistV5 (CNA) |
| symfony | yaml | < 5.4.52 | CVEProject cvelistV5 (CNA) |
| symfony | yaml | >= 6.0.0-BETA1, < 6.4.40 | CVEProject cvelistV5 (CNA) |
| symfony | yaml | >= 7.0.0-BETA1, < 7.4.12 | CVEProject cvelistV5 (CNA) |
| symfony | yaml | >= 8.0.0-BETA1, < 8.0.12 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۶- https://github.com/symfony/symfony/security/advisories/GHSA-9frc-8383-795m x_refsource_CONFIRM
- https://github.com/symfony/symfony/commit/9749cd43c5e09b3735093623670b21b9d8a056cb x_refsource_MISC
- https://github.com/symfony/symfony/releases/tag/v5.4.52 x_refsource_MISC
- https://github.com/symfony/symfony/releases/tag/v6.4.40 x_refsource_MISC
- https://github.com/symfony/symfony/releases/tag/v7.4.12 x_refsource_MISC
- https://github.com/symfony/symfony/releases/tag/v8.0.12 x_refsource_MISC
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۴/۲۳
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۴/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۶۸٪
احتمال بهره‌برداری در ۳۰ روز
۵۲٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-1333Inefficient Regular Expression Complexity