CVE-2026-123792

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões 6.x anteriores a 6.4.50 Symfony versões 7.x anteriores a 7.4.23 Symfony versões 8.x anteriores a 8.1.11

Description Os componentes Inline e Parser do componente Yaml do Symfony processam alguns documentos YAML de forma ineficiente. Um documento especialmente criado pode fazer com que um processo PHP permaneça ocupado por períodos prolongados, potencialmente causando a negação de serviço. Isso ocorre porque o parser repete o trabalho em diversas áreas: mapeamentos incorporados em sequências de fluxo são analisados novamente para cada escalar anexado, fazendo com que o tempo de análise cresça exponencialmente com a profundidade do aninhamento; chaves de mapeamento e tags analisam espaços por caractere; e cada escalar de uma coleção de fluxo é comparado com uma cópia do restante da coleção, resultando em crescimento quadrático em relação ao tamanho da entrada. Além disso, blocos aninhados são copiados em cada nível, consumindo memória e tempo. Outros gatilhos incluem itens de sequência vazios seguidos por linhas em branco ou âncoras nomeadas como 0. Qualquer código que analise YAML não confiável com as flags padrão é afetado. Nas versões 7.4 e posteriores, isso inclui o atributo #[MapRequestPayload] quando o componente Yaml está instalado e o endpoint não restringe o acceptFormat. Na versão 6.4, o #[MapRequestPayload] é afetado se a aplicação registrar um formato de requisição yaml.

Recommendations Atualizar para a versão 5.4.56 ou posterior. Atualizar para a versão 6.4.50 ou posterior. Atualizar para a versão 7.4.23 ou posterior. Atualizar para a versão 8.1.11 ou posterior.