Symfony Serializer: odczyt plików lokalnych przez DataUriNormalizer (CVE-2026-121623)
W komponencie Symfony Serializer metoda DataUriNormalizer::denormalize() sprawdza schemat data: wyrażeniem regularnym uwzględniającym wielkość liter. Wartość taka jak DATA:,/../../../etc/passwd jest traktowana jak lokalna ścieżka i otwierana jako plik. Luka ma ocenę CVSS 8.2.
Sprawdzane w Shield: nie
Kogo dotyczy
Symfony przed 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23, 8.x przed 8.1.11. Dotyczy endpointów deserializujących niezaufane dane do File, \SplFileInfo lub \SplFileObject, bez uwierzytelnienia, jeśli endpoint jest publiczny.
Jak sprawdzić u siebie
Uruchom composer show symfony/serializer i porównaj wersję z poprawionymi. Następnie znajdź endpointy deserializujące dane użytkownika do File, \SplFileInfo lub \SplFileObject.
Jak naprawić
Zaktualizuj Symfony do 5.4.56, 6.4.50, 7.4.23 lub 8.1.11, zależnie od gałęzi. Po aktualizacji sprawdź endpointy przyjmujące takie dane.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacja o wykorzystaniu luki w atakach nie jest jeszcze ujawniona. Źródło: NVD, CVE-2026-121623.
