p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in symfony/symfony

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für symfony/symfony: 2. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 102

  1. CVE-2026-109413

    Hoch · CVSS 8.7EPSS 0,4%Korrektur verfügbar

    Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process

    In Symfony YAML prior to versions 5.4.54, 6.4.45, 7.4.18, and 8.1.6, Yaml\Parser::lexInlineStructure() recursed through lexInlineMapping() and lexInlineSequence() for every { and [ of an inline collection, without entering the nesting level that the rest of the parser bounds with maxNestingLevel. A document made of deeply nested inline collections, such as [[[[...]]]], exhausted the stack while it was being lexed: depending on the PHP version and its stack settings, the process crashed or the request ended with a fatal error. Any code parsing untrusted YAML is affected. That includes #[MapRequestPayload] when the Yaml component is installe

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.54 aktualisieren
    • Auf 6.4.45 aktualisieren
    • Auf 7.4.18 aktualisieren
    • Auf 8.1.6 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-108082

    Hoch · CVSS 8.7EPSS 0,48%Korrektur verfügbar

    Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to versions 5.4.54, 6.4.46, 7.4.19, and 8.1.7, HeaderUtils::split() parsed header values with a pattern whose token alternative also matched whitespace, followed by a (?<!\s) lookbehind. A run of whitespace placed before a separator could be divided among the iterations of the enclosing repetition in exponentially many ways, and the engine tried all of them before settling. HeaderBag calls it for the Cache-Control header whenever a Request is built, so any application handling HTTP requests is reachable, with no authentication. A single

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.54 aktualisieren
    • Auf 6.4.46 aktualisieren
    • Auf 7.4.19 aktualisieren
    • Auf 8.1.7 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2026-48761

    Mittel · CVSS 5.3EPSS 0,34%Korrektur verfügbar

    Symfony: HtmlSanitizer UrlAttributeSanitizer Misses URL Attributes on <object>, <applet>, <iframe>, <img> and the URL Inside <meta http-equiv="refresh"> content

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0 until 6.4.41, 7.4.13, and 8.0.13, UrlAttributeSanitizer::getSupportedAttributes() omitted URL-bearing attributes on <object>, <applet>, <iframe>, and <img>, and <meta http-equiv="refresh"> URLs inside content bypassed URL sanitization, allowing explicitly enabled elements or attributes to pass javascript: and similar payloads into sanitized output. This issue is fixed in versions 6.4.41, 7.4.13, and 8.0.13.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.41 aktualisieren
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2026-48747

    Mittel · CVSS 6.3EPSS 0,25%Korrektur verfügbar

    Symfony: Mailomat Mailer Webhook Parser Reads the HMAC Algorithm from the Request: Signature Algorithm Downgrade

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 7.4.13 and 8.0.13, MailomatRequestParser::validateSignature() parsed X-MOM-Webhook-Signature as algo=signature and passed the request-selected algorithm to hash_hmac(), allowing a signature algorithm downgrade instead of enforcing Mailomat's documented SHA-256 webhook signature. This issue is fixed in versions 7.4.13 and 8.0.13.

    symfony/symfony symfony/symfonyPHP
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2026-48489

    Hoch · CVSS 8.7EPSS 0,6%Korrektur verfügbar

    Symfony: Security Firewall Bypass via failure_forward Subrequest: Unauthenticated Access to access_control-Protected GET Routes

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.53, 6.4.41, 7.4.13, and 8.0.13, DefaultAuthenticationFailureHandler honored the request-supplied _failure_path parameter when failure_forward: true was enabled, allowing an unauthenticated failing login request to dispatch a subrequest to access_control-protected GET routes that skipped firewall listeners. This issue is fixed in versions 5.4.53, 6.4.41, 7.4.13, and 8.0.13.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.53 aktualisieren
    • Auf 6.4.41 aktualisieren
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  6. CVE-2026-48760

    Mittel · CVSS 5.3EPSS 0,34%Korrektur verfügbar

    Symfony: HtmlSanitizer URL Parser Deny Gates Underinclusive: Percent-Encoded BiDi Marks and Unicode Whitespace Bypass Visual-Spoofing Defense

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0 until 6.4.41, 7.4.13, and 8.0.13, UrlSanitizer::parse() rejected raw BiDi formatting characters but not percent-encoded forms and used an ASCII-only whitespace check, allowing sanitized URLs to retain visual-spoofing characters that downstream consumers could decode or display. This issue is fixed in versions 6.4.41, 7.4.13, and 8.0.13.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.41 aktualisieren
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  7. CVE-2026-48736

    Mittel · CVSS 6.9EPSS 0,57%Korrektur verfügbar

    Symfony: IpUtils::PRIVATE_SUBNETS Omits IPv6 Transition Forms (6to4, NAT64, Teredo, IPv4-compatible): SSRF Bypass in NoPrivateNetworkHttpClient

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 5.4.0 to 5.4.53, 6.4.41, 7.4.13, and 8.0.13, NoPrivateNetworkHttpClient and IpUtils::PRIVATE_SUBNETS omitted IPv6 transition prefixes such as 6to4, NAT64, Teredo, and IPv4-compatible IPv6, allowing attacker-supplied URLs to represent private IPv4 targets in forms that IpUtils::isPrivateIp() did not block. This issue is fixed in versions 5.4.53, 6.4.41, 7.4.13, and 8.0.13.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.53 aktualisieren
    • Auf 6.4.41 aktualisieren
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  8. CVE-2026-48784

    Mittel · CVSS 5.1EPSS 0,35%Korrektur verfügbar

    Symfony: UrlGenerator Dot-Segment Encoding Skips Every Other Chained `../` or `./` → Generated URL Collapses Off-Route Under RFC 3986 Normalization

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.53, 6.4.41, 7.4.13, and 8.0.13, UrlGenerator::doGenerate() used strtr() dot-segment encoding that skipped every other chained ../ or ./ segment, allowing attacker-controlled route parameters to generate URLs that collapse to a different path under RFC 3986 normalization. This issue is fixed in versions 5.4.53, 6.4.41, 7.4.13, and 8.0.13.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.53 aktualisieren
    • Auf 6.4.41 aktualisieren
    • Auf 7.4.13 aktualisieren
    • Auf 8.0.13 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  9. CVE-2026-45068

    Hoch · CVSS 8.7EPSS 0,52%Korrektur verfügbar

    Symfony: Argument Injection in SendmailTransport via Dash-Prefixed Recipient Address

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, SendmailTransport in -t mode appended recipient addresses to the sendmail command line without a -- end-of-options separator, allowing an address beginning with - to be interpreted as a sendmail command-line option instead of an address. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  10. CVE-2026-47212

    Mittel · CVSS 6.9EPSS 1,51%Korrektur verfügbar

    Symfony: Twilio Notifier Webhook Parser Never Verifies the X-Twilio-Signature HMAC: Unauthenticated Webhook Event Injection

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, TwilioRequestParser::doParse() received the configured webhook secret but ignored the X-Twilio-Signature HMAC header, allowing unauthenticated POST requests to inject forged Twilio status payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  11. CVE-2026-45071

    Hoch · CVSS 8.7EPSS 0,57%Korrektur verfügbar

    Symfony: XXE (Local File Disclosure) in DomCrawler::addXmlContent() via validateOnParse = true

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Crawler::addXmlContent() set DOMDocument::$validateOnParse = true before loadXML(), re-enabling external entity resolution and allowing attacker-supplied XML to expand file:// entities such as local files. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  12. CVE-2026-45755

    Mittel · CVSS 6.9EPSS 0,27%Korrektur verfügbar

    Symfony: Mailtrap Mailer Webhook Parser Never Verifies the X-Mt-Signature HMAC — Unauthenticated Webhook Event Injection

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 7.4.12 and 8.0.12, MailtrapRequestParser::doParse() received the configured webhook secret but ignored the X-Mt-Signature HMAC header, allowing unauthenticated POST requests to inject forged Mailtrap delivery, bounce, open, click, or spam events. This issue is fixed in versions 7.4.12 and 8.0.12.

    symfony/symfony symfony/symfonyPHP
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  13. CVE-2026-45754

    Mittel · CVSS 6.9EPSS 0,45%Korrektur verfügbar

    Symfony: Mailjet Mailer Webhook Parser Never Verifies the Configured Secret — Unauthenticated Webhook Event Injection

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  14. CVE-2026-45305

    Hoch · CVSS 8.7EPSS 0,68%Korrektur verfügbar

    Symfony: YAML Parser ReDoS via Catastrophic Backtracking in Parser::cleanup() Regex

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Symfony\Component\Yaml\Parser::cleanup() used regular expressions with overlapping quantifiers for YAML directive, comment, and document marker cleanup, allowing crafted input to make parsing hang for an arbitrarily long time. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  15. CVE-2026-45304

    Hoch · CVSS 8.7EPSS 0,68%Korrektur verfügbar

    Symfony: YAML Parser Exponential Memory Allocation via Recursive Collection-Alias Expansion ("Billion Laughs")

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, Symfony\Component\Yaml\Parser resolved YAML collection aliases recursively, allowing a small untrusted YAML input to expand into a multi-gigabyte structure and exhaust memory. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  16. CVE-2026-45069

    Hoch · CVSS 8.8EPSS 0,26%Korrektur verfügbar

    Symfony: OidcTokenHandler Accepts JWTs Missing aud/iss/exp Claims

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, OidcTokenHandler::verifyClaims() registered audience (aud), issuer (iss), and expiry (exp) checkers but did not pass the mandatory claims list to ClaimCheckerManager::check(), so a validly signed JWT that omitted those claims could pass verification. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  17. CVE-2026-45133

    Hoch · CVSS 8.2EPSS 0,63%Korrektur verfügbar

    Symfony: [Yaml] Harden the parser when handling untrusted input

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 5.4.52, 6.4.40, 7.4.12, and 8.0.12, when the parser is exposed to attacker-controlled input, deeply nested mappings or sequences cause both the block-level (Parser::parseBlock()) and inline (Inline::parseSequence() / Inline::parseMapping()) parsers to recurse without a depth limit. A crafted document exhausts the PHP stack and crashes the worker. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  18. CVE-2026-45075

    Hoch · CVSS 8.3EPSS 0,43%Korrektur verfügbar

    Symfony: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 7.4.12 and 8.0.12, method-scoped #[IsGranted], #[IsSignatureValid], and #[IsCsrfTokenValid] attributes can be configured for GET only, but Symfony routes HEAD requests to the GET handler while the attribute check is skipped, allowing protected controllers to execute and leak headers or perform side effects. This issue is fixed in versions 7.4.12 and 8.0.12.

    symfony/symfony symfony/symfonyPHP
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  19. CVE-2026-47767

    Hoch · CVSS 8.3EPSS 0,72%Korrektur verfügbar

    Symfony: SymfonyRuntime CVE-2024-50340 Patch Bypass: Web Requests Can Still Set APP_ENV/APP_DEBUG via parse_str/SAPI Argv Mismatch

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 5.4.46 until 5.4.52, 6.4.40, 7.4.12, and 8.0.12, the CVE-2024-50340 fix gated runtime argv parsing on empty($_GET), but parse_str() and the web SAPI can disagree, allowing a crafted query string to leave $_GET empty while $_SERVER['argv'] still carries attacker-controlled --env or --no-debug flags that change APP_ENV or APP_DEBUG. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 5.4.52 aktualisieren
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  20. CVE-2026-45064

    Niedrig · CVSS 2.3EPSS 0,34%Korrektur verfügbar

    Symfony: HtmlSanitizer URL Attributes Pass Through BiDi Override Characters → Visual href Spoofing

    Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0-BETA1 until 6.4.40, 7.4.12, and 8.0.12, UrlSanitizer::parse() passes Unicode explicit-direction BiDi formatting characters through into sanitized href and src attributes, allowing sanitized content to display a link destination that visually differs from the actual destination and enabling phishing-style visual spoofing. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

    symfony/symfony symfony/symfony symfony/symfonyPHP
    • Auf 6.4.40 aktualisieren
    • Auf 7.4.12 aktualisieren
    • Auf 8.0.12 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →