PT-2026-138091
CVE-2026-118515
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Symfony الإصدارات السابقة لـ 5.4.56
Symfony الإصدارات 6.x السابقة لـ 6.4.50
Symfony الإصدارات 7.x السابقة لـ 7.4.23
Symfony الإصدارات 8.x السابقة لـ 8.1.11
Description
يحتوي مكون Symfony Serializer على مشكلة حيث يتعامل
DataUriNormalizer مع أنواع محددة فقط، مما يؤدي إلى قيام ObjectNormalizer بإنشاء فئات فرعية مثل UploadedFile باستخدام بيانات يتحكم فيها المهاجم عبر المشيد (constructor). يسمح هذا بمعاملة أي ملف عشوائي على الخادم كملف تم رفعه. يمكن للمهاجم إرسال جسم طلب يحتوي على متغير path للإشارة إلى ملفات حساسة، مثل .env.local. ومن خلال تعيين متغير test إلى true ، تتخطى الدالة UploadedFile::isValid() فحص is uploaded file() وتعود الدالة move() إلى استخدام rename(). يمكن أن يؤدي ذلك إلى كشف أي ملف يمكن لـ PHP قراءته، أو نقل الملفات بشكل غير مصرح به، أو التأكد من وجود مسار ملف على الخادم. تؤثر هذه المشكلة على أي كود يقوم بإلغاء تسلسل بيانات غير موثوقة في نوع يحتوي على مثل هذه الخاصية، بما في ذلك استخدام #[MapRequestPayload] في DTO يحتوي على خاصية UploadedFile.Recommendations
تحديث Symfony إلى الإصدار 5.4.56 أو أحدث.
تحديث Symfony إلى الإصدار 6.4.50 أو أحدث.
تحديث Symfony إلى الإصدار 7.4.23 أو أحدث.
تحديث Symfony إلى الإصدار 8.1.11 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾