Symfony Serializer: lectura de archivos locales vía DataUriNormalizer (CVE-2026-121623)
En el componente Symfony Serializer, DataUriNormalizer::denormalize() comprueba el esquema data: con una expresión regular sensible a mayúsculas. Un valor como DATA:,/../../../etc/passwd se trata como una ruta local y se abre como archivo. La vulnerabilidad tiene CVSS 8.2.
Revisado en Shield: no
Quién está afectado
Symfony anterior a 5.4.56, 6.x anterior a 6.4.50, 7.x anterior a 7.4.23, 8.x anterior a 8.1.11. Afecta a los endpoints que deserializan entrada no confiable en File, \SplFileInfo o \SplFileObject, sin autenticación si el endpoint es público.
Cómo comprobar
Ejecuta composer show symfony/serializer y compara la versión con las corregidas. Luego busca los endpoints que deserializan entrada de usuarios en File, \SplFileInfo o \SplFileObject.
Cómo corregirlo
Actualiza Symfony a 5.4.56, 6.4.50, 7.4.23 o 8.1.11, según tu rama. Tras actualizar, revisa los endpoints que aceptan ese tipo de entrada.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha revelado si se explota en ataques reales. Fuente: NVD, CVE-2026-121623.
