Symfony Serializer: чтение локальных файлов через DataUriNormalizer (CVE-2026-121623)
В компоненте Symfony Serializer метод DataUriNormalizer::denormalize() проверяет схему data: регистрозависимым регулярным выражением. Значение вида DATA:,/../../../etc/passwd воспринимается как локальный путь и открывается как файл. Уязвимости присвоен CVSS 8.2.
Проверяется в Shield: нет
Кого касается
Symfony до 5.4.56, ветка 6.x до 6.4.50, 7.x до 7.4.23, 8.x до 8.1.11. Затронуты эндпоинты, которые десериализуют недоверенный ввод в File, \SplFileInfo или \SplFileObject. Без авторизации, если эндпоинт публичный.
Как проверить у себя
Выполните composer show symfony/serializer и сравните версию с исправленными. Затем найдите эндпоинты, десериализующие пользовательский ввод в File, \SplFileInfo или \SplFileObject.
Как исправить
Обновите Symfony до 5.4.56, 6.4.50, 7.4.23 или 8.1.11 в зависимости от вашей ветки. После обновления перепроверьте эндпоинты, принимающие такой ввод.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об эксплуатации уязвимости в реальных атаках нет (статус неизвестен). Источник: NVD, CVE-2026-121623.
