CVE-2026-49211

Nome do Software Vulnerável e Versões Afetadas Symfony UX versões 2.2.0 até 2.35.0

Description Na função SymfonyUXAutocompleteDoctrineEntitySearchUtil::addSearchClause(), a expressão LIKE para o endpoint de preenchimento automático é construída envolvendo a consulta fornecida pelo cliente em %...% sem escapar os caracteres curinga do SQL LIKE, como %, e ``. Embora o valor seja passado como um parâmetro vinculado, evitando a injeção de SQL, um usuário não autenticado pode utilizar esses curingas para transformar o endpoint público BaseEntityAutocompleteType em um correspondente amplo ou em um oráculo booleano cego. Isso permite que o usuário consulte todas as colunas nos searchable fields padrão, expondo potencialmente dados que a aplicação não pretendia tornar públicos.

Recommendations Atualize para a versão 2.36.0 ou 3.1.0.