Symfony Serializer: leitura de arquivos locais via DataUriNormalizer (CVE-2026-121623)
No componente Symfony Serializer, DataUriNormalizer::denormalize() verifica o esquema data: com uma expressão regular sensível a maiúsculas e minúsculas. Um valor como DATA:,/../../../etc/passwd é tratado como caminho local e aberto como arquivo. A vulnerabilidade tem CVSS 8.2.
Verificado no Shield: não
Quem é afetado
Symfony anterior a 5.4.56, 6.x anterior a 6.4.50, 7.x anterior a 7.4.23, 8.x anterior a 8.1.11. Afeta endpoints que desserializam entrada não confiável em File, \SplFileInfo ou \SplFileObject, sem autenticação se o endpoint for público.
Como verificar
Execute composer show symfony/serializer e compare a versão com as corrigidas. Depois, localize os endpoints que desserializam entrada de usuários em File, \SplFileInfo ou \SplFileObject.
Como corrigir
Atualize o Symfony para 5.4.56, 6.4.50, 7.4.23 ou 8.1.11, conforme a sua branch. Após atualizar, revise os endpoints que aceitam esse tipo de entrada.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se há exploração em ataques reais. Fonte: NVD, CVE-2026-121623.
