CVE-2026-121623

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões anteriores a 6.4.50 Symfony versões anteriores a 7.4.23 Symfony versões anteriores a 8.1.11

Description A função DataUriNormalizer::denormalize() no componente Serializer do Symfony utiliza uma expressão regular sensível a maiúsculas e minúsculas para corresponder ao esquema data:. Isso permite que um invasor utilize um esquema em maiúsculas, como DATA:, para ignorar a verificação. Consequentemente, a entrada é tratada como um caminho de arquivo local em vez de dados inline, resultando na Leitura Arbitrária de Arquivos Locais através de Path Traversal. Isso ocorre quando a aplicação desserializa entradas não confiáveis nos tipos File, SplFileInfo ou SplFileObject. Qualquer endpoint que realize essa desserialização é afetado, e uma única requisição com um valor manipulado pode ler arquivos locais acessíveis pela aplicação, sem necessidade de autenticação se o endpoint for público.

Recommendations Atualize para a versão 5.4.56 ou posterior. Atualize para a versão 6.4.50 ou posterior. Atualize para a versão 7.4.23 ou posterior. Atualize para a versão 8.1.11 ou posterior.