CVE-2026-123824

اسم البرنامج المصاب والإصدارات المتأثرة Symfony الإصدارات السابقة لـ 5.4.56 Symfony الإصدارات 6.x السابقة لـ 6.4.50 Symfony الإصدارات 7.x السابقة لـ 7.4.23 Symfony الإصدارات 8.x السابقة لـ 8.1.11

Description يعاني مكون Config في Symfony من ثغرة حقن الكيانات الخارجية لـ XML (XXE). يحدث هذا لأن الدالة XmlUtils::parse() تقوم بتفعيل التحقق من DTD عن طريق تعيين $dom->validateOnParse = true قبل استدعاء loadXML()، ولا ترفض المستندات التي تحتوي على doctype إلا بعد ذلك. نتيجة لذلك، يقوم libxml بحل الكيانات الخارجية أثناء عملية التحميل. وبينما يقوم LIBXML NONET بحظر طلبات http:// إلا أنه لا يحظر طلبات file:// مما يسمح لمهاجم عن بُعد بتزويد مستند XML مصمم خصيصاً لتحديد ما إذا كانت الملفات المحلية موجودة أو التسبب في حالة رفض الخدمة من خلال الإشارة إلى ملفات كبيرة أو بطيئة. بالإضافة إلى ذلك، إذا كان هناك wrapper تدفق يدعم الشبكة مثل s3:// مسجلاً، يمكن استخدام كيان معلمة لإرسال محتوى ملف محلي إلى خادم خارجي. تتأثر التطبيقات عندما يتم تمرير XML غير موثوق به مباشرة إلى الدالة XmlUtils::parse().

Recommendations تحديث Symfony إلى الإصدار 5.4.56 أو أحدث. تحديث Symfony 6.x إلى الإصدار 6.4.50 أو أحدث. تحديث Symfony 7.x إلى الإصدار 7.4.23 أو أحدث. تحديث Symfony 8.x إلى الإصدار 8.1.11 أو أحدث. كإجراء تخفيف مؤقت، تجنب تمرير XML غير موثوق به مباشرة إلى الدالة XmlUtils::parse().