CVE-2026-123824

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões 6.x anteriores a 6.4.50 Symfony versões 7.x anteriores a 7.4.23 Symfony versões 8.x anteriores a 8.1.11

Description O componente Config do Symfony é suscetível a injeção de Entidade Externa XML (XXE). Isso ocorre porque a função XmlUtils::parse() habilita a validação DTD ao definir $dom->validateOnParse = true antes de chamar loadXML(), e apenas rejeita documentos com um doctype posteriormente. Consequentemente, o libxml resolve entidades externas durante o processo de carregamento. Embora o LIBXML NONET bloqueie requisições http://, ele não bloqueia requisições file://, permitindo que um invasor remoto forneça um documento XML manipulado para determinar se arquivos locais existem ou causar a negação de serviço ao apontar para arquivos grandes ou lentos. Além disso, se um wrapper de stream capaz de rede como s3:// estiver registrado, uma entidade de parâmetro pode ser usada para exfiltrar o conteúdo de arquivos locais para um servidor externo. As aplicações são afetadas quando XML não confiável é passado diretamente para a função XmlUtils::parse().

Recommendations Atualize o Symfony para a versão 5.4.56 ou posterior. Atualize o Symfony 6.x para a versão 6.4.50 ou posterior. Atualize o Symfony 7.x para a versão 7.4.23 ou posterior. Atualize o Symfony 8.x para a versão 8.1.11 ou posterior. Como mitigação temporária, evite passar XML não confiável diretamente para a função XmlUtils::parse().