جزئیات آسیب‌پذیری

CVE-2026-45756

symfony json-pathsymfony symfony

Symfony: JsonPath Evaluates Attacker-Controlled Regular Expressions in match()/search() Without Limits — ReDoS

CVSS 4.0

8.2بالا

شرح رسمی (انگلیسی)

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 7.3.0-BETA1 until 7.4.12 and 8.0.12, the JsonPath component compiles attacker-controlled match() and search() filter patterns directly into preg_match() without a length cap, i-regexp restriction, or bounded backtracking, allowing catastrophic-backtracking expressions to pin worker CPU and cause denial of service. This issue is fixed in versions 7.4.12 and 8.0.12.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.2بالا	4.0	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
symfony	json-path	>= 7.3.0-BETA1, < 7.4.12	CVEProject cvelistV5 (CNA)
symfony	json-path	>= 8.0.0-BETA1, < 8.0.12	CVEProject cvelistV5 (CNA)
symfony	symfony	>= 7.3.0-BETA1, < 7.4.12	CVEProject cvelistV5 (CNA)
symfony	symfony	>= 8.0.0-BETA1, < 8.0.12	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/symfony/symfony/security/advisories/GHSA-8v8v-g73j-492j x_refsource_CONFIRM
https://github.com/symfony/symfony/commit/1ac2d47418ec23066112db1e6ca35be6fe123d14 x_refsource_MISC
https://github.com/symfony/symfony/releases/tag/v7.4.12 x_refsource_MISC
https://github.com/symfony/symfony/releases/tag/v8.0.12 x_refsource_MISC

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۴/۲۳
آخرین به‌روزرسانی: ۱۴۰۵/۰۴/۳۰
وضعیت: منتشرشده
صادرکننده (CNA): GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۶۳٪

احتمال بهره‌برداری در ۳۰ روز

۵۰٫۳٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: بله
وضعیت بهره‌برداری: ندارد
اثر فنی: جزئی

ضعف‌ها (CWE)

CWE-400
Uncontrolled Resource Consumption
CWE-1333
Inefficient Regular Expression Complexity