CVE-2026-45754
CVE-2026-45754 · Symfony: Mailjet Mailer Webhook Parser Never Verifies the Configured Secret — Unauthenticated Webhook Event Injection
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
CVSS 6.9 · Mittel · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · php
Betroffene Produkte und Versionen
symfony
- Softwareversionen
- >= 6.4.0, < 6.4.40: Betroffen
- >= 7.0.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
lox24-notifier
- Softwareversionen
- >= 7.1.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
mailjet-mailer
- Softwareversionen
- >= 6.4.0, < 6.4.40: Betroffen
- >= 7.0.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
symfony Debian:13
- Softwareversionen
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2+deb13u1
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 6.4.40+dfsg-0+deb13u1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 6.4.41+dfsg-0+deb13u1
Auf 6.4.41+dfsg-0+deb13u1 aktualisieren
symfony Debian:14
- Softwareversionen
- 6.4.21+dfsg-2
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 7.0.4+dfsg-1
- 7.0.5+dfsg-1
- 7.0.6+dfsg-1
- 7.0.7+dfsg-1
- 7.1.0~beta1+dfsg-1
- 7.1.0~rc1+dfsg-1
- 7.1.2+dfsg-1
- 7.1.3+dfsg-1
- 7.1.4+dfsg-1
- 7.1.5+dfsg-1
- 7.2.0~beta1+dfsg-1
- 7.2.0~beta2+dfsg-1
- 7.2.0~rc1+dfsg-1
- 7.2.1+dfsg-1
- 7.2.2+dfsg-1
- 7.2.3+dfsg-1
- 7.2.4+dfsg-1
- 7.2.5+dfsg-1
- 7.2.6-1
- 7.3.0+dfsg-1
- 7.3.0~beta1+dfsg-1
- 7.3.0~beta2+dfsg-1
- 7.3.0~rc1+dfsg-1
- 7.3.1+dfsg-1
- 7.3.2+dfsg-1
- 7.3.3+dfsg-1
- 7.3.4+dfsg-1
- 7.3.5-1
- 7.4.0+dfsg-1
- 7.4.0+dfsg-2
- 7.4.0~beta1-1
- 7.4.0~beta1-2
- 7.4.0~beta2+dfsg-1
- 7.4.0~beta2+dfsg-2
- 7.4.0~beta2+dfsg-3
- 7.4.0~rc1+dfsg-1
- 7.4.0~rc2+dfsg-1
- 7.4.0~rc3+dfsg-1
- 7.4.10+dfsg-1
- 7.4.2+dfsg-1
- 7.4.2+dfsg-2
- 7.4.3+dfsg-1
- 7.4.4+dfsg-1
- 7.4.5+dfsg-1
- 7.4.6+dfsg-1
- 7.4.6+dfsg-2
- 7.4.7+dfsg-1
- 7.4.8+dfsg-1
- 7.4.9+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 7.4.12+dfsg-1
Auf 7.4.12+dfsg-1 aktualisieren
symfony/lox24-notifier Packagist
- Softwareversionen
- v7.1.0
- v7.1.1
- v7.1.2
- v7.1.5
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.10
- v7.3.2
- v7.3.4
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.4
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.1.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/lox24-notifier Packagist
- Softwareversionen
- v8.0.0
- v8.0.4
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony/symfony Packagist
- Softwareversionen
- v6.4.0
- v6.4.1
- v6.4.10
- v6.4.11
- v6.4.12
- v6.4.13
- v6.4.14
- v6.4.15
- v6.4.16
- v6.4.17
- v6.4.18
- v6.4.19
- v6.4.2
- v6.4.20
- v6.4.21
- v6.4.22
- v6.4.23
- v6.4.24
- v6.4.25
- v6.4.26
- v6.4.27
- v6.4.28
- v6.4.29
- v6.4.3
- v6.4.30
- v6.4.31
- v6.4.32
- v6.4.33
- v6.4.34
- v6.4.35
- v6.4.36
- v6.4.37
- v6.4.38
- v6.4.39
- v6.4.4
- v6.4.5
- v6.4.6
- v6.4.7
- v6.4.8
- v6.4.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Auf 6.4.40 aktualisieren
symfony/symfony Packagist
- Softwareversionen
- v7.0.0
- v7.0.1
- v7.0.10
- v7.0.2
- v7.0.3
- v7.0.4
- v7.0.5
- v7.0.6
- v7.0.7
- v7.0.8
- v7.0.9
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.10
- v7.1.11
- v7.1.2
- v7.1.3
- v7.1.4
- v7.1.5
- v7.1.6
- v7.1.7
- v7.1.8
- v7.1.9
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-BETA2
- v7.2.0-RC1
- v7.2.1
- v7.2.2
- v7.2.3
- v7.2.4
- v7.2.5
- v7.2.6
- v7.2.7
- v7.2.8
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-BETA2
- v7.3.0-RC1
- v7.3.1
- v7.3.10
- v7.3.11
- v7.3.2
- v7.3.3
- v7.3.4
- v7.3.5
- v7.3.6
- v7.3.7
- v7.3.8
- v7.3.9
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-BETA2
- v7.4.0-RC1
- v7.4.0-RC2
- v7.4.0-RC3
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- v7.4.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/symfony Packagist
- Softwareversionen
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- v8.0.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony/mailjet-mailer Packagist
- Softwareversionen
- v6.4.0
- v6.4.13
- v6.4.2
- v6.4.24
- v6.4.27
- v6.4.3
- v6.4.34
- v6.4.35
- v6.4.7
- v6.4.8
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Auf 6.4.40 aktualisieren
symfony/mailjet-mailer Packagist
- Softwareversionen
- v7.0.0
- v7.0.2
- v7.0.3
- v7.0.7
- v7.0.8
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.5
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.6
- v7.4.7
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/mailjet-mailer Packagist
- Softwareversionen
- v8.0.0
- v8.0.6
- v8.0.7
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony Ubuntu:16.04:LTS
- Softwareversionen
- 2.7.1+dfsg-1
- 2.7.5+dfsg-1
- 2.7.9+dfsg-1
- 2.7.9+dfsg-1ubuntu2
- 2.7.10-0ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:18.04:LTS
- Softwareversionen
- 2.8.7+dfsg-1.3ubuntu1
- 3.4.3+dfsg-1ubuntu4
- 3.4.6+dfsg-1
- 3.4.6+dfsg-1ubuntu0.1
- 3.4.6+dfsg-1ubuntu0.1+esm1
- 3.4.6+dfsg-1ubuntu0.1+esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:20.04:LTS
- Softwareversionen
- 4.3.4+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1+esm1
- 4.3.8+dfsg-1ubuntu1+esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:22.04:LTS
- Softwareversionen
- 5.2.6+dfsg-1ubuntu7
- 5.4.4+dfsg-1ubuntu8
- 5.4.4+dfsg-1ubuntu8+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:24.04:LTS
- Softwareversionen
- 5.4.23+dfsg-1ubuntu1
- 5.4.35+dfsg-3ubuntu1
- 6.4.5+dfsg-3ubuntu2
- 6.4.5+dfsg-3ubuntu3
- 6.4.5+dfsg-3ubuntu3+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:25.10
- Softwareversionen
- 6.4.18+dfsg-1ubuntu1
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2ubuntu1
- 6.4.24+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:26.10
- Softwareversionen
- 7.4.7+dfsg-1ubuntu1
- 7.4.9+dfsg-1ubuntu1
- 7.4.13+dfsg-2ubuntu1
- 7.4.14+dfsg-1ubuntu2
- 7.4.15+dfsg-2ubuntu2
- 7.4.16+dfsg-1ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:26.04:LTS
- Softwareversionen
- 6.4.24+dfsg-1
- 7.4.5+dfsg-1ubuntu1
- 7.4.6+dfsg-2ubuntu1
- 7.4.7+dfsg-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://github.com/symfony/symfony/security/advisories/GHSA-64hg-93w9-fc35
- https://github.com/symfony/symfony/commit/3e52bf5ab733ee32e35eeeeb2631d859c941838e
- https://github.com/symfony/symfony/commit/4aaa45dd054f73445f1ab254968b7e60b546cc77
- https://github.com/symfony/symfony/releases/tag/v6.4.40
- https://github.com/symfony/symfony/releases/tag/v7.4.12
- https://github.com/symfony/symfony/releases/tag/v8.0.12
- https://nvd.nist.gov/vuln/detail/CVE-2026-45754