Symfony Serializer: читання локальних файлів через DataUriNormalizer (CVE-2026-121623)
У компоненті Symfony Serializer метод DataUriNormalizer::denormalize() перевіряє схему data: регістрозалежним регулярним виразом. Значення на кшталт DATA:,/../../../etc/passwd сприймається як локальний шлях і відкривається як файл. Вразливості присвоєно CVSS 8.2.
Перевіряється в Shield: ні
Кого стосується
Symfony до 5.4.56, гілка 6.x до 6.4.50, 7.x до 7.4.23, 8.x до 8.1.11. Уражені ендпоінти, які десеріалізують недовірений ввід у File, \SplFileInfo або \SplFileObject. Без автентифікації, якщо ендпоінт публічний.
Як перевірити в себе
Виконайте composer show symfony/serializer і порівняйте версію з виправленими. Потім знайдіть ендпоінти, що десеріалізують ввід користувача у File, \SplFileInfo або \SplFileObject.
Як виправити
Оновіть Symfony до 5.4.56, 6.4.50, 7.4.23 або 8.1.11 залежно від вашої гілки. Після оновлення перевірте ендпоінти, які приймають такий ввід.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про експлуатацію вразливості в реальних атаках немає (статус невідомий). Джерело: NVD, CVE-2026-121623.
