CVE-2026-118515

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões 6.x anteriores a 6.4.50 Symfony versões 7.x anteriores a 7.4.23 Symfony versões 8.x anteriores a 8.1.11

Description O componente Symfony Serializer possui um problema onde o DataUriNormalizer lida apenas com tipos específicos, fazendo com que o ObjectNormalizer instancie subclasses como UploadedFile usando dados controlados por um invasor através do construtor. Isso permite que um arquivo arbitrário no servidor seja tratado como um arquivo enviado. Um invasor pode enviar um corpo de requisição contendo a variável path para apontar para arquivos sensíveis, como .env.local. Ao definir a variável test como true, a função UploadedFile::isValid() ignora a verificação is uploaded file() e a função move() retorna para rename(). Isso pode levar à exposição de qualquer arquivo legível pelo PHP, à movimentação não autorizada de arquivos ou à confirmação da existência de um arquivo no servidor. O problema afeta qualquer código que desserialize dados não confiáveis em um tipo com tal propriedade, incluindo o uso de #[MapRequestPayload] em um DTO com uma propriedade UploadedFile.

Recommendations Atualize o Symfony para a versão 5.4.56 ou posterior. Atualize o Symfony para a versão 6.4.50 ou posterior. Atualize o Symfony para a versão 7.4.23 ou posterior. Atualize o Symfony para a versão 8.1.11 ou posterior.