p PatchFirst

CVE-2026-109413

CVE-2026-109413 · Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

In Symfony YAML prior to versions 5.4.54, 6.4.45, 7.4.18, and 8.1.6, Yaml\Parser::lexInlineStructure() recursed through lexInlineMapping() and lexInlineSequence() for every { and [ of an inline collection, without entering the nesting level that the rest of the parser bounds with maxNestingLevel. A document made of deeply nested inline collections, such as [[[[...]]]], exhausted the stack while it was being lexed: depending on the PHP version and its stack settings, the process crashed or the request ended with a fatal error. Any code parsing untrusted YAML is affected. That includes #[MapRequestPayload] when the Yaml component is installed and the endpoint does not restrict acceptFormat: a single unauthenticated request with a YAML content type is enough. This issue affects symfony/yaml through v5.4.53, v6.0.0-BETA1 through v6.4.44, v7.0.0-BETA1 through v7.4.17, and v8.0.0-BETA1 through v8.1.5.

CVSS 8.7 · Высокий · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • symfony

    Версии
    • ≥ 0, < v5.4.54: Затронуто (git)
    • ≥ v6.0.0-BETA1, < v6.4.45: Затронуто (git)
    • ≥ v7.0.0-BETA1, < v7.4.18: Затронуто (git)
    • ≥ v8.0.0-BETA1, < v8.1.6: Затронуто (git)

    Обновитесь до v5.4.54; Обновитесь до v6.4.45; Обновитесь до v7.4.18; Обновитесь до v8.1.6

  • symfony Debian:12

    Версии
    • 5.4.23+dfsg-1
    • 5.4.23+dfsg-1+deb12u1
    • 5.4.23+dfsg-1+deb12u2
    • 5.4.23+dfsg-1+deb12u3
    • 5.4.23+dfsg-1+deb12u4
    • 5.4.23+dfsg-1+deb12u5
    • 5.4.24+dfsg-1
    • 5.4.25+dfsg-1
    • 5.4.27+dfsg-1
    • 5.4.28+dfsg-1
    • 5.4.29+dfsg-1
    • 5.4.30+dfsg-1
    • 5.4.31+dfsg-1
    • 5.4.31+dfsg-2
    • 5.4.32+dfsg-1
    • 5.4.33+dfsg-1
    • 5.4.34+dfsg-1
    • 5.4.34+dfsg-2
    • 5.4.35+dfsg-1
    • 5.4.35+dfsg-2
    • 5.4.35+dfsg-3
    • 5.4.52+dfsg-0+deb12u1
    • 5.4.53+dfsg-0+deb12u1
    • 6.3.0+dfsg-1
    • 6.3.0~rc1+dfsg-1
    • 6.3.0~rc2+dfsg-1
    • 6.3.1+dfsg-1
    • 6.3.3+dfsg-1
    • 6.3.4+dfsg-1
    • 6.3.5+dfsg-1
    • 6.3.6+dfsg-1
    • 6.3.7+dfsg-1
    • 6.4.0+dfsg-1
    • 6.4.0~beta2+dfsg-1
    • 6.4.0~beta3+dfsg-1
    • 6.4.0~rc1+dfsg-1
    • 6.4.0~rc2+dfsg-1
    • 6.4.1+dfsg-1
    • 6.4.10+dfsg-1
    • 6.4.11+dfsg-1
    • 6.4.12+dfsg-1
    • 6.4.13+dfsg-1
    • 6.4.14+dfsg-1
    • 6.4.15+dfsg-1
    • 6.4.16+dfsg-1
    • 6.4.16+dfsg-2
    • 6.4.17+dfsg-1
    • 6.4.17+dfsg-2
    • 6.4.17+dfsg-3
    • 6.4.17+dfsg-4
    • 6.4.17+dfsg-5
    • 6.4.17+dfsg-6
    • 6.4.18+dfsg-1
    • 6.4.19+dfsg-1
    • 6.4.19+dfsg-2
    • 6.4.2+dfsg-1
    • 6.4.20+dfsg-1
    • 6.4.20+dfsg-2
    • 6.4.21+dfsg-1
    • 6.4.21+dfsg-2
    • 6.4.24+dfsg-1
    • 6.4.25+dfsg-1
    • 6.4.3+dfsg-1
    • 6.4.4+dfsg-1
    • 6.4.4+dfsg-2
    • 6.4.4+dfsg-3
    • 6.4.4+dfsg-4
    • 6.4.5+dfsg-1
    • 6.4.5+dfsg-2
    • 6.4.5+dfsg-3
    • 6.4.5+dfsg-4
    • 6.4.6+dfsg-1
    • 6.4.7+dfsg-1
    • 6.4.9+dfsg-1
    • 7.0.4+dfsg-1
    • 7.0.5+dfsg-1
    • 7.0.6+dfsg-1
    • 7.0.7+dfsg-1
    • 7.1.0~beta1+dfsg-1
    • 7.1.0~rc1+dfsg-1
    • 7.1.2+dfsg-1
    • 7.1.3+dfsg-1
    • 7.1.4+dfsg-1
    • 7.1.5+dfsg-1
    • 7.2.0~beta1+dfsg-1
    • 7.2.0~beta2+dfsg-1
    • 7.2.0~rc1+dfsg-1
    • 7.2.1+dfsg-1
    • 7.2.2+dfsg-1
    • 7.2.3+dfsg-1
    • 7.2.4+dfsg-1
    • 7.2.5+dfsg-1
    • 7.2.6-1
    • 7.3.0+dfsg-1
    • 7.3.0~beta1+dfsg-1
    • 7.3.0~beta2+dfsg-1
    • 7.3.0~rc1+dfsg-1
    • 7.3.1+dfsg-1
    • 7.3.2+dfsg-1
    • 7.3.3+dfsg-1
    • 7.3.4+dfsg-1
    • 7.3.5-1
    • 7.4.0+dfsg-1
    • 7.4.0+dfsg-2
    • 7.4.0~beta1-1
    • 7.4.0~beta1-2
    • 7.4.0~beta2+dfsg-1
    • 7.4.0~beta2+dfsg-2
    • 7.4.0~beta2+dfsg-3
    • 7.4.0~rc1+dfsg-1
    • 7.4.0~rc2+dfsg-1
    • 7.4.0~rc3+dfsg-1
    • 7.4.10+dfsg-1
    • 7.4.12+dfsg-1
    • 7.4.13+dfsg-1
    • 7.4.13+dfsg-2
    • 7.4.14+dfsg-1
    • 7.4.15+dfsg-1
    • 7.4.15+dfsg-2
    • 7.4.16+dfsg-1
    • 7.4.17+dfsg-1
    • 7.4.18+dfsg-1
    • 7.4.19+dfsg-1
    • 7.4.2+dfsg-1
    • 7.4.2+dfsg-2
    • 7.4.20+dfsg-1
    • 7.4.21+dfsg-1
    • 7.4.3+dfsg-1
    • 7.4.4+dfsg-1
    • 7.4.5+dfsg-1
    • 7.4.6+dfsg-1
    • 7.4.6+dfsg-2
    • 7.4.7+dfsg-1
    • 7.4.8+dfsg-1
    • 7.4.9+dfsg-1
    • 8.0.0+dfsg-1
    • 8.0.0~beta2+dfsg-1
    • 8.0.0~beta2+dfsg-2
    • 8.0.0~rc1+dfsg-1
    • 8.0.0~rc2+dfsg-1
    • 8.0.0~rc3+dfsg-1
    • 8.0.10-1
    • 8.0.11+dfsg-1
    • 8.0.12+dfsg-1
    • 8.0.13+dfsg-1
    • 8.0.2+dfsg-1
    • 8.0.3+dfsg-1
    • 8.0.4+dfsg-1
    • 8.0.5+dfsg-1
    • 8.0.6+dfsg-1
    • 8.0.7+dfsg-1
    • 8.0.8+dfsg-1
    • 8.0.9+dfsg-1
    • 8.1.0+dfsg-1
    • 8.1.1+dfsg-1
    • 8.1.3+dfsg-1
    • 8.1.4+dfsg-1
    • 8.1.5+dfsg-1
    • 8.1.6+dfsg-1
    • 8.1.7+dfsg-1
    • 8.1.8+dfsg-1
    • 8.1.9+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Debian:13

    Версии
    • 6.4.21+dfsg-2
    • 6.4.21+dfsg-2+deb13u1
    • 6.4.24+dfsg-1
    • 6.4.25+dfsg-1
    • 6.4.40+dfsg-0+deb13u1
    • 6.4.41+dfsg-0+deb13u1
    • 7.0.4+dfsg-1
    • 7.0.5+dfsg-1
    • 7.0.6+dfsg-1
    • 7.0.7+dfsg-1
    • 7.1.0~beta1+dfsg-1
    • 7.1.0~rc1+dfsg-1
    • 7.1.2+dfsg-1
    • 7.1.3+dfsg-1
    • 7.1.4+dfsg-1
    • 7.1.5+dfsg-1
    • 7.2.0~beta1+dfsg-1
    • 7.2.0~beta2+dfsg-1
    • 7.2.0~rc1+dfsg-1
    • 7.2.1+dfsg-1
    • 7.2.2+dfsg-1
    • 7.2.3+dfsg-1
    • 7.2.4+dfsg-1
    • 7.2.5+dfsg-1
    • 7.2.6-1
    • 7.3.0+dfsg-1
    • 7.3.0~beta1+dfsg-1
    • 7.3.0~beta2+dfsg-1
    • 7.3.0~rc1+dfsg-1
    • 7.3.1+dfsg-1
    • 7.3.2+dfsg-1
    • 7.3.3+dfsg-1
    • 7.3.4+dfsg-1
    • 7.3.5-1
    • 7.4.0+dfsg-1
    • 7.4.0+dfsg-2
    • 7.4.0~beta1-1
    • 7.4.0~beta1-2
    • 7.4.0~beta2+dfsg-1
    • 7.4.0~beta2+dfsg-2
    • 7.4.0~beta2+dfsg-3
    • 7.4.0~rc1+dfsg-1
    • 7.4.0~rc2+dfsg-1
    • 7.4.0~rc3+dfsg-1
    • 7.4.10+dfsg-1
    • 7.4.12+dfsg-1
    • 7.4.13+dfsg-1
    • 7.4.13+dfsg-2
    • 7.4.14+dfsg-1
    • 7.4.15+dfsg-1
    • 7.4.15+dfsg-2
    • 7.4.16+dfsg-1
    • 7.4.17+dfsg-1
    • 7.4.18+dfsg-1
    • 7.4.19+dfsg-1
    • 7.4.2+dfsg-1
    • 7.4.2+dfsg-2
    • 7.4.20+dfsg-1
    • 7.4.21+dfsg-1
    • 7.4.3+dfsg-1
    • 7.4.4+dfsg-1
    • 7.4.5+dfsg-1
    • 7.4.6+dfsg-1
    • 7.4.6+dfsg-2
    • 7.4.7+dfsg-1
    • 7.4.8+dfsg-1
    • 7.4.9+dfsg-1
    • 8.0.0+dfsg-1
    • 8.0.0~beta2+dfsg-1
    • 8.0.0~beta2+dfsg-2
    • 8.0.0~rc1+dfsg-1
    • 8.0.0~rc2+dfsg-1
    • 8.0.0~rc3+dfsg-1
    • 8.0.10-1
    • 8.0.11+dfsg-1
    • 8.0.12+dfsg-1
    • 8.0.13+dfsg-1
    • 8.0.2+dfsg-1
    • 8.0.3+dfsg-1
    • 8.0.4+dfsg-1
    • 8.0.5+dfsg-1
    • 8.0.6+dfsg-1
    • 8.0.7+dfsg-1
    • 8.0.8+dfsg-1
    • 8.0.9+dfsg-1
    • 8.1.0+dfsg-1
    • 8.1.1+dfsg-1
    • 8.1.3+dfsg-1
    • 8.1.4+dfsg-1
    • 8.1.5+dfsg-1
    • 8.1.6+dfsg-1
    • 8.1.7+dfsg-1
    • 8.1.8+dfsg-1
    • 8.1.9+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Debian:14

    Версии
    • 6.4.21+dfsg-2
    • 6.4.24+dfsg-1
    • 6.4.25+dfsg-1
    • 7.0.4+dfsg-1
    • 7.0.5+dfsg-1
    • 7.0.6+dfsg-1
    • 7.0.7+dfsg-1
    • 7.1.0~beta1+dfsg-1
    • 7.1.0~rc1+dfsg-1
    • 7.1.2+dfsg-1
    • 7.1.3+dfsg-1
    • 7.1.4+dfsg-1
    • 7.1.5+dfsg-1
    • 7.2.0~beta1+dfsg-1
    • 7.2.0~beta2+dfsg-1
    • 7.2.0~rc1+dfsg-1
    • 7.2.1+dfsg-1
    • 7.2.2+dfsg-1
    • 7.2.3+dfsg-1
    • 7.2.4+dfsg-1
    • 7.2.5+dfsg-1
    • 7.2.6-1
    • 7.3.0+dfsg-1
    • 7.3.0~beta1+dfsg-1
    • 7.3.0~beta2+dfsg-1
    • 7.3.0~rc1+dfsg-1
    • 7.3.1+dfsg-1
    • 7.3.2+dfsg-1
    • 7.3.3+dfsg-1
    • 7.3.4+dfsg-1
    • 7.3.5-1
    • 7.4.0+dfsg-1
    • 7.4.0+dfsg-2
    • 7.4.0~beta1-1
    • 7.4.0~beta1-2
    • 7.4.0~beta2+dfsg-1
    • 7.4.0~beta2+dfsg-2
    • 7.4.0~beta2+dfsg-3
    • 7.4.0~rc1+dfsg-1
    • 7.4.0~rc2+dfsg-1
    • 7.4.0~rc3+dfsg-1
    • 7.4.10+dfsg-1
    • 7.4.12+dfsg-1
    • 7.4.13+dfsg-1
    • 7.4.13+dfsg-2
    • 7.4.14+dfsg-1
    • 7.4.15+dfsg-1
    • 7.4.15+dfsg-2
    • 7.4.16+dfsg-1
    • 7.4.17+dfsg-1
    • 7.4.2+dfsg-1
    • 7.4.2+dfsg-2
    • 7.4.3+dfsg-1
    • 7.4.4+dfsg-1
    • 7.4.5+dfsg-1
    • 7.4.6+dfsg-1
    • 7.4.6+dfsg-2
    • 7.4.7+dfsg-1
    • 7.4.8+dfsg-1
    • 7.4.9+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.4.18+dfsg-1

    Обновитесь до 7.4.18+dfsg-1

  • symfony Ubuntu:16.04:LTS

    Версии
    • 2.7.1+dfsg-1
    • 2.7.5+dfsg-1
    • 2.7.9+dfsg-1
    • 2.7.9+dfsg-1ubuntu2
    • 2.7.10-0ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:Pro:18.04:LTS

    Версии
    • 2.8.7+dfsg-1.3ubuntu1
    • 3.4.3+dfsg-1ubuntu4
    • 3.4.6+dfsg-1
    • 3.4.6+dfsg-1ubuntu0.1
    • 3.4.6+dfsg-1ubuntu0.1+esm1
    • 3.4.6+dfsg-1ubuntu0.1+esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:Pro:20.04:LTS

    Версии
    • 4.3.4+dfsg-1ubuntu1
    • 4.3.8+dfsg-1ubuntu1
    • 4.3.8+dfsg-1ubuntu1+esm1
    • 4.3.8+dfsg-1ubuntu1+esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:Pro:22.04:LTS

    Версии
    • 5.2.6+dfsg-1ubuntu7
    • 5.4.4+dfsg-1ubuntu8
    • 5.4.4+dfsg-1ubuntu8+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:Pro:24.04:LTS

    Версии
    • 5.4.23+dfsg-1ubuntu1
    • 5.4.35+dfsg-3ubuntu1
    • 6.4.5+dfsg-3ubuntu2
    • 6.4.5+dfsg-3ubuntu3
    • 6.4.5+dfsg-3ubuntu3+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:26.10

    Версии
    • 7.4.7+dfsg-1ubuntu1
    • 7.4.9+dfsg-1ubuntu1
    • 7.4.13+dfsg-2ubuntu1
    • 7.4.14+dfsg-1ubuntu2
    • 7.4.15+dfsg-2ubuntu2
    • 7.4.16+dfsg-1ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • symfony Ubuntu:26.04:LTS

    Версии
    • 6.4.24+dfsg-1
    • 7.4.5+dfsg-1ubuntu1
    • 7.4.6+dfsg-2ubuntu1
    • 7.4.7+dfsg-1ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →