CVE-2026-109413

Nome do Software Vulnerável e Versões Afetadas symfony/yaml versões 5.4.0 até 5.4.53 symfony/yaml versões 6.0.0-BETA1 até 6.4.44 symfony/yaml versões 7.0.0-BETA1 até 7.4.17 symfony/yaml versões 8.0.0-BETA1 até 8.1.5

Description A função YamlParser::lexInlineStructure() recursa através de lexInlineMapping() e lexInlineSequence() para cada { e [ em uma coleção inline sem respeitar o limite maxNestingLevel. Um documento YAML contendo coleções inline profundamente aninhadas pode esgotar a pilha durante a análise léxica, resultando no travamento do processo ou em um erro fatal, dependendo da versão do PHP e das configurações de pilha. Este problema afeta qualquer código que analise YAML não confiável, incluindo o uso de #[MapRequestPayload] quando o componente Yaml está instalado e o endpoint não restringe o acceptFormat, permitindo que uma única requisição não autenticada com tipo de conteúdo YAML desencadeie a falha.

Recommendations Atualize o symfony/yaml para a versão 5.4.54 ou posterior. Atualize o symfony/yaml para a versão 6.4.45 ou posterior. Atualize o symfony/yaml para a versão 7.4.18 ou posterior. Atualize o symfony/yaml para a versão 8.1.6 ou posterior.