CVE-2026-45754
CVE-2026-45754 · Symfony: Mailjet Mailer Webhook Parser Never Verifies the Configured Secret — Unauthenticated Webhook Event Injection
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
CVSS 6.9 · Средний · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
symfony
- Версии
- >= 6.4.0, < 6.4.40: Затронуто
- >= 7.0.0-BETA1, < 7.4.12: Затронуто
- >= 8.0.0-BETA1, < 8.0.12: Затронуто
Нет опубликованного исправления
lox24-notifier
- Версии
- >= 7.1.0-BETA1, < 7.4.12: Затронуто
- >= 8.0.0-BETA1, < 8.0.12: Затронуто
Нет опубликованного исправления
mailjet-mailer
- Версии
- >= 6.4.0, < 6.4.40: Затронуто
- >= 7.0.0-BETA1, < 7.4.12: Затронуто
- >= 8.0.0-BETA1, < 8.0.12: Затронуто
Нет опубликованного исправления
symfony Debian:13
- Версии
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2+deb13u1
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 6.4.40+dfsg-0+deb13u1
- Затронутые диапазоны версий
- ECOSYSTEM: < 6.4.41+dfsg-0+deb13u1
Обновитесь до 6.4.41+dfsg-0+deb13u1
symfony Debian:14
- Версии
- 6.4.21+dfsg-2
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 7.0.4+dfsg-1
- 7.0.5+dfsg-1
- 7.0.6+dfsg-1
- 7.0.7+dfsg-1
- 7.1.0~beta1+dfsg-1
- 7.1.0~rc1+dfsg-1
- 7.1.2+dfsg-1
- 7.1.3+dfsg-1
- 7.1.4+dfsg-1
- 7.1.5+dfsg-1
- 7.2.0~beta1+dfsg-1
- 7.2.0~beta2+dfsg-1
- 7.2.0~rc1+dfsg-1
- 7.2.1+dfsg-1
- 7.2.2+dfsg-1
- 7.2.3+dfsg-1
- 7.2.4+dfsg-1
- 7.2.5+dfsg-1
- 7.2.6-1
- 7.3.0+dfsg-1
- 7.3.0~beta1+dfsg-1
- 7.3.0~beta2+dfsg-1
- 7.3.0~rc1+dfsg-1
- 7.3.1+dfsg-1
- 7.3.2+dfsg-1
- 7.3.3+dfsg-1
- 7.3.4+dfsg-1
- 7.3.5-1
- 7.4.0+dfsg-1
- 7.4.0+dfsg-2
- 7.4.0~beta1-1
- 7.4.0~beta1-2
- 7.4.0~beta2+dfsg-1
- 7.4.0~beta2+dfsg-2
- 7.4.0~beta2+dfsg-3
- 7.4.0~rc1+dfsg-1
- 7.4.0~rc2+dfsg-1
- 7.4.0~rc3+dfsg-1
- 7.4.10+dfsg-1
- 7.4.2+dfsg-1
- 7.4.2+dfsg-2
- 7.4.3+dfsg-1
- 7.4.4+dfsg-1
- 7.4.5+dfsg-1
- 7.4.6+dfsg-1
- 7.4.6+dfsg-2
- 7.4.7+dfsg-1
- 7.4.8+dfsg-1
- 7.4.9+dfsg-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 7.4.12+dfsg-1
Обновитесь до 7.4.12+dfsg-1
symfony/lox24-notifier Packagist
- Версии
- v7.1.0
- v7.1.1
- v7.1.2
- v7.1.5
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.10
- v7.3.2
- v7.3.4
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.4
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 7.1.0, < 7.4.12
Обновитесь до 7.4.12
symfony/lox24-notifier Packagist
- Версии
- v8.0.0
- v8.0.4
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Обновитесь до 8.0.12
symfony/symfony Packagist
- Версии
- v6.4.0
- v6.4.1
- v6.4.10
- v6.4.11
- v6.4.12
- v6.4.13
- v6.4.14
- v6.4.15
- v6.4.16
- v6.4.17
- v6.4.18
- v6.4.19
- v6.4.2
- v6.4.20
- v6.4.21
- v6.4.22
- v6.4.23
- v6.4.24
- v6.4.25
- v6.4.26
- v6.4.27
- v6.4.28
- v6.4.29
- v6.4.3
- v6.4.30
- v6.4.31
- v6.4.32
- v6.4.33
- v6.4.34
- v6.4.35
- v6.4.36
- v6.4.37
- v6.4.38
- v6.4.39
- v6.4.4
- v6.4.5
- v6.4.6
- v6.4.7
- v6.4.8
- v6.4.9
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Обновитесь до 6.4.40
symfony/symfony Packagist
- Версии
- v7.0.0
- v7.0.1
- v7.0.10
- v7.0.2
- v7.0.3
- v7.0.4
- v7.0.5
- v7.0.6
- v7.0.7
- v7.0.8
- v7.0.9
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.10
- v7.1.11
- v7.1.2
- v7.1.3
- v7.1.4
- v7.1.5
- v7.1.6
- v7.1.7
- v7.1.8
- v7.1.9
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-BETA2
- v7.2.0-RC1
- v7.2.1
- v7.2.2
- v7.2.3
- v7.2.4
- v7.2.5
- v7.2.6
- v7.2.7
- v7.2.8
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-BETA2
- v7.3.0-RC1
- v7.3.1
- v7.3.10
- v7.3.11
- v7.3.2
- v7.3.3
- v7.3.4
- v7.3.5
- v7.3.6
- v7.3.7
- v7.3.8
- v7.3.9
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-BETA2
- v7.4.0-RC1
- v7.4.0-RC2
- v7.4.0-RC3
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- v7.4.9
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Обновитесь до 7.4.12
symfony/symfony Packagist
- Версии
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- v8.0.9
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Обновитесь до 8.0.12
symfony/mailjet-mailer Packagist
- Версии
- v6.4.0
- v6.4.13
- v6.4.2
- v6.4.24
- v6.4.27
- v6.4.3
- v6.4.34
- v6.4.35
- v6.4.7
- v6.4.8
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Обновитесь до 6.4.40
symfony/mailjet-mailer Packagist
- Версии
- v7.0.0
- v7.0.2
- v7.0.3
- v7.0.7
- v7.0.8
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.5
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.6
- v7.4.7
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Обновитесь до 7.4.12
symfony/mailjet-mailer Packagist
- Версии
- v8.0.0
- v8.0.6
- v8.0.7
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Обновитесь до 8.0.12
symfony Ubuntu:16.04:LTS
- Версии
- 2.7.1+dfsg-1
- 2.7.5+dfsg-1
- 2.7.9+dfsg-1
- 2.7.9+dfsg-1ubuntu2
- 2.7.10-0ubuntu2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:Pro:18.04:LTS
- Версии
- 2.8.7+dfsg-1.3ubuntu1
- 3.4.3+dfsg-1ubuntu4
- 3.4.6+dfsg-1
- 3.4.6+dfsg-1ubuntu0.1
- 3.4.6+dfsg-1ubuntu0.1+esm1
- 3.4.6+dfsg-1ubuntu0.1+esm2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:Pro:20.04:LTS
- Версии
- 4.3.4+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1+esm1
- 4.3.8+dfsg-1ubuntu1+esm2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:Pro:22.04:LTS
- Версии
- 5.2.6+dfsg-1ubuntu7
- 5.4.4+dfsg-1ubuntu8
- 5.4.4+dfsg-1ubuntu8+esm1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:Pro:24.04:LTS
- Версии
- 5.4.23+dfsg-1ubuntu1
- 5.4.35+dfsg-3ubuntu1
- 6.4.5+dfsg-3ubuntu2
- 6.4.5+dfsg-3ubuntu3
- 6.4.5+dfsg-3ubuntu3+esm1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:25.10
- Версии
- 6.4.18+dfsg-1ubuntu1
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2ubuntu1
- 6.4.24+dfsg-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:26.10
- Версии
- 7.4.7+dfsg-1ubuntu1
- 7.4.9+dfsg-1ubuntu1
- 7.4.13+dfsg-2ubuntu1
- 7.4.14+dfsg-1ubuntu2
- 7.4.15+dfsg-2ubuntu2
- 7.4.16+dfsg-1ubuntu2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
symfony Ubuntu:26.04:LTS
- Версии
- 6.4.24+dfsg-1
- 7.4.5+dfsg-1ubuntu1
- 7.4.6+dfsg-2ubuntu1
- 7.4.7+dfsg-1ubuntu1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
Первоисточники
- https://github.com/symfony/symfony/security/advisories/GHSA-64hg-93w9-fc35
- https://github.com/symfony/symfony/commit/3e52bf5ab733ee32e35eeeeb2631d859c941838e
- https://github.com/symfony/symfony/commit/4aaa45dd054f73445f1ab254968b7e60b546cc77
- https://github.com/symfony/symfony/releases/tag/v6.4.40
- https://github.com/symfony/symfony/releases/tag/v7.4.12
- https://github.com/symfony/symfony/releases/tag/v8.0.12
- https://nvd.nist.gov/vuln/detail/CVE-2026-45754