CVE-2026-108082

اسم البرنامج المتأثر والإصدارات المتأثرة symfony/http-foundation الإصدارات من 4.1.0-BETA1 إلى 5.4.53 symfony/http-foundation الإصدارات من 6.0.0-BETA1 إلى 6.4.45 symfony/http-foundation الإصدارات من 7.0.0-BETA1 إلى 7.4.18 symfony/http-foundation الإصدارات من 8.0.0-BETA1 إلى 8.1.6

Description تقوم الدالة HeaderUtils::split() بتحليل قيم الرأس باستخدام نمط حيث يتطابق بديل الرمز مع مسافات بيضاء متبوعة بـ lookbehind. عندما يتم وضع سلسلة من المسافات البيضاء قبل فاصل، يحاول المحرك تقسيم المسافات البيضاء بين التكرارات بطرق أسية. يحدث هذا داخل HeaderBag عند معالجة رأس Cache-Control أثناء إنشاء Request، مما يجعل أي تطبيق يتعامل مع طلبات HTTP متاحاً دون مصادقة. يمكن أن يتسبب طلب يحتوي على رأس مصمم خصيصاً في استهلاك عالٍ لوحدة المعالجة المركزية؛ على سبيل المثال، 17 مسافة في رأس بحجم 8 كيلوبايت يمكن أن تستهلك ما يقرب من ثانية واحدة من وحدة المعالجة المركزية. عند استخدام 18 مسافة أو أكثر، تصل preg match all() إلى pcre.backtrack limit مما يؤدي إلى إرجاع split() لمصفوفة فارغة وإسقاط جميع توجيهات الرأس بصمت.

Recommendations تحديث symfony/http-foundation إلى الإصدار 5.4.54 أو أحدث. تحديث symfony/http-foundation إلى الإصدار 6.4.46 أو أحدث. تحديث symfony/http-foundation إلى الإصدار 7.4.19 أو أحدث. تحديث symfony/http-foundation إلى الإصدار 8.1.7 أو أحدث.