CVE-2026-49210

Nome do Software Vulnerável e Versões Afetadas Symfony UX versões 2.8.0 até 2.35.0 Symfony UX versões 3.0.0 até 3.0.x

Description Na função SymfonyUXLiveComponentUtilChildComponentPartialRenderer::createHtml(), o argumento $childTag é interpolado diretamente na saída HTML como um nome de tag, sem escape ou validação. Este valor é derivado de um JSON controlado pelo cliente através da variável children[id].tag, que é processada pelo LiveComponentSubscriber e InterceptChildComponentRenderSubscriber. Um invasor pode injetar HTML arbitrário, incluindo tags <script>, durante qualquer renderização de um Live Component que contenha pelo menos um componente filho. Por padrão, o endpoint do Live Component requer um cabeçalho Accept: application/vnd.live-component+html, o que normalmente impede requisições cross-origin devido aos requisitos de preflight do CORS. No entanto, o problema é explorável se as políticas de CORS forem flexibilizadas para permitir este cabeçalho de origens não confiáveis ou se o invasor já tiver alcançado um XSS de mesma origem.

Recommendations Atualize o Symfony UX para a versão 2.36.0. Atualize o Symfony UX para a versão 3.1.0.