Symfony

Twig, die Template-Sprache für PHP, kompiliert bei template_from_string() ab Version 3.9.0 bis einschliesslich 3.26.0 eine innere Vorlage unter einem synthetisierten Namen __string_template__<hash>, der ausserhalb der konfigurierten SourcePolicy liegen kann. Dadurch lässt sich unter Umständen die Sandbox-Beschränkung von Twig umgehen. Betroffen sind PHP- und Symfony-Installationen, die Twig einsetzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Die Template-Engine Twig enthält in den Versionen 2.16.x sowie 3.9.0 bis 3.25.x eine Sandbox-Umgehung bei Verwendung eines SourcePolicyInterface. Angreifer mit der Möglichkeit, Templates zu rendern, können dadurch beliebigen PHP-Code einschleusen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen von 7.3.0-BETA1 bis 7.4.12 sowie 8.0.12 kompiliert die JsonPath-Komponente durch Angreifer kontrollierte match()-Ausdrücke. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Im Linux-Kernel wurde eine Schwachstelle behoben: In net/mlx5e behandelt mlx5e_xfrm_add_state() temporäre SAs im Acquire-Ablauf, wobei es zu einem Underflow der eswitch-Mode-Blockierung kommen konnte. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: den korrigierten Kernel-Stand über die Aktualisierungen des jeweiligen Distributors einspielen.

In Twig wird das Allow-List-Urteil für Filter, Tags und Funktionen pro Vorlage beim Erzeugen der Template-Instanz berechnet und kann vor Version 3.27.0 auch ausserhalb des ursprünglichen Sandbox-Kontexts zwischengespeichert bleiben. Dadurch kann ein zuvor berechnetes Urteil unter Umständen in einem anderen Kontext wiederverwendet werden. Betroffen sind PHP- und Symfony-Installationen, die Twig einsetzen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Symfony UX ist ein JavaScript-Ökosystem für Symfony. Von Version 2.2.0 bis 2.36.0 sowie in 3.1.0 erzeugt EntitySearchUtil::addSearchClause() den LIKE-Ausdruck, der von der Autocomplete-Funktion verwendet wird, auf eine angreifbare Weise. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Symfony UX deckte der vom LiveComponentHydrator berechnete HMAC nur die sortierten Prop-Schlüssel/Wert-Paare ab und damit nicht den vollständigen Zustand. Betroffen sind die Versionen ab 2.8.0 bis 2.36.0 sowie 3.1.0. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im xfrm-iptfs-Code des Linux-Kernels wurde eine Schwachstelle behoben: iptfs_clone_state() kopierte die IPTFS-Modusdaten mit kmemdup() und übernahm dabei auch den Laufzeitzustand; dieser wird beim Klonen von Security Associations nun zurückgesetzt. Der Fehler wurde per Kernel-Patch korrigiert; Ubuntu stellt entsprechende Kernel-Updates bereit (USN-8593-1, USN-8603-1). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die bereitgestellte Kernel-Aktualisierung einspielen.

Die HttpFoundation-Komponente von Symfony interpretiert in der Request-Klasse bestimmte PATH_INFO-Werte fehlerhaft, wodurch manche URLs mit einem Pfad dargestellt werden, der nicht mit einem Schrägstrich beginnt. Dadurch lassen sich Zugriffskontrollregeln umgehen, die auf dieser Präfix-Annahme beruhen. Betroffen sind Versionen ab 2.0.0 bis vor 5.4.50, 6.4.29 und 7.3.7; diese Versionen beheben das Problem. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Symfony 5.4.50, 6.4.29 oder 7.3.7 aktualisieren.

Im Drupal-Modul Symfony Mailer Lite besteht in Versionen vor 1.0.6 eine Cross-Site-Request-Forgery-Schwachstelle. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Symfony Mailer Lite 1.0.6 oder neuer aktualisieren.

Twig ist eine Template-Sprache für PHP. Unter bestimmten Umständen werden die Sicherheitsprüfungen der Sandbox nicht ausgeführt, wodurch von Benutzern beigesteuerte Templates die Sandbox-Beschränkungen umgehen können. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 1.44.8, 2.16.1 oder 3.14.0.

Für das Symfony-Framework wurde eine Sicherheitslücke (CVE-2024-50340) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 64.8 %.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit wiederverwendbaren Komponenten. Laut Quelle besteht in Versionen ab 2.0.0, 5.0.0 und 6.0.0 vor 4.4.51, 5.4.31 und 6.3.8 eine Schwachstelle im Zusammenhang mit der Twig-Komponente. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit einem Satz wiederverwendbarer Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 besteht laut Quelle ein Problem beim Parsen von Webhooks in der Mailjet-Mailer-Bridge und der LOX24-Notifier-Bridge. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Symfony UX ist ein JavaScript-Ökosystem für Symfony. In den Versionen ab 2.8.0 bis vor 2.36.0 sowie ab 3.1.0 interpoliert die Methode ChildComponentPartialRenderer::createHtml() client-gesteuerte Eingaben in das erzeugte HTML. Dadurch lässt sich potenziell schädlicher Inhalt einschleusen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Symfony UX ist ein JavaScript-Ökosystem für Symfony. In symfony/ux-autocomplete rendert der Stimulus-Controller von Version 2.2.0 bis vor 2.36.0 sowie in 3.1.0 die Elemente einer AJAX-Antwort in der Funktion _createAutocompleteWithRemoteData, ohne sie ausreichend zu bereinigen. Die Ausnutzung erfordert eine Nutzerinteraktion und wirkt über die Vertrauensgrenze hinweg (Scope Changed). CVSS-Basiswert: 5.4 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf symfony/ux-autocomplete 2.36.0 bzw. 3.1.0 oder neuer.

In Symfony UX, einem JavaScript-Ökosystem für Symfony, entsteht laut NVD ein Problem, wenn eine #[LiveProp] als DateTimeInterface typisiert und kein explizites Format konfiguriert ist. Betroffen sind die Versionen ab 2.8.0 bis vor 2.36.0 sowie 3.1.0. Die fehlende Formatvorgabe kann zu unerwartetem Verhalten bei der Verarbeitung von Datumswerten führen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Symfony UX auf eine korrigierte Version (2.36.0 bzw. 3.1.0) aktualisieren.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen von 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 verarbeitet die Funktion UrlSanitizer::parse() Unicode-Zeichen zur expliziten Textrichtungssteuerung fehlerhaft. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Symfony UX ist ein JavaScript-Ökosystem für Symfony. In den Versionen ab 2.5.0 bis vor 2.36.0 sowie ab 3.1.0 iteriert Symfony\UX\LiveComponent\Controller\BatchActionController::__invoke() über die vom Client übergebene Liste von Aktionen, was sich zu einer Verfügbarkeitsbeeinträchtigung ausnutzen lässt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen mit einer Reihe wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lässt UrlAttributeSanitizer::getSupportedAttributes() bestimmte URL-Attribute bei der Sanitisierung aus. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Symfony UX, einem JavaScript-Ökosystem für Symfony, prüft die Methode isLiveComponentRequest() des LiveComponentSubscriber laut NVD den Zugriff auf mit #[LiveAction] markierte Aktionen unzureichend. Betroffen sind die Versionen ab 2.22.0 bis vor 2.36.0 sowie 3.1.0. Dies kann Angreifern eine Interaktion über die vorgesehenen Rechtegrenzen hinaus ermöglichen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Symfony UX auf eine korrigierte Version (2.36.0 bzw. 3.1.0) aktualisieren.

Twig, eine Template-Sprache für PHP, schreibt in den Versionen 3.0.0 bis 3.26.0 über Twig\Profiler\Dumper\HtmlDumper die Werte von Profile::getTemplate() und Profile::getName() ungefiltert in die HTML-Ausgabe. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 lässt UrlAttributeSanitizer::getSupportedAttributes() Attribute aus. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 verarbeitet MailtrapRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony Polyfill portiert PHP-Funktionen zurück und stellt Kompatibilitätsschichten für Erweiterungen und Funktionen bereit. Von Version 1.17.1 bis 1.38.1 akzeptiert symfony/polyfill-intl-idn xn--Labels, deren Punycode-Nutzlast fehlerhaft ist. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 6.4.40, 7.4.12 und 8.0.12 verarbeitet TwilioRequestParser::doParse() das konfigurierte Webhook-Secret laut Quelle in einer sicherheitsrelevanten Weise. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 5.4.46 bis 5.4.52, 6.4.40, 7.4.12 und 8.0.12 sperrt der Fix zu CVE-2024-50340 das Runtime-Argv-Parsing nicht vollständig ab. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 weist der DefaultAuthenticationFailureHandler laut Quelle ein sicherheitsrelevantes Verhalten im Umgang mit anfragegesteuerten Daten auf. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, ist laut Quelle in den Versionen 5.4.0 bis 5.4.53, 6.4.41, 7.4.13 und 8.0.13 von einem Problem in den Komponenten NoPrivateNetworkHttpClient und IpUtils::PRIVATE_SUBNETS betroffen. Die genaue Auswirkung geht aus der vorliegenden Quellbeschreibung nicht vollständig hervor. Zu CVSS- und EPSS-Werten liegen keine Angaben vor; die Einstufung Mittel ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.13 und 8.0.13 verarbeitet MailomatRequestParser::validateSignature() den Header X-MOM-Webhook-Signature fehlerhaft. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 6.1.0 bis 6.4.41, 7.4.13 und 8.0.13 lehnt UrlSanitizer::parse() rohe BiDi-Formatierungszeichen nicht ab. CVSS-Basiswert liegt nicht in den Quelldaten vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Laut NVD verwendet UrlGenerator::doGenerate() vor den Versionen 5.4.53, 6.4.41, 7.4.13 und 8.0.13 eine auf strtr() basierende Kodierung von Dot-Segmenten, die als fehlerhaft beschrieben wird. Zu CVSS- und EPSS-Werten liegen in den Quelldaten keine Angaben vor; die Einstufung „Mittel“ ist ein neutraler Default.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 extrahiert der X509Authenticator den Benutzeridentifikator fehlerhaft aus der $_SERVER-Variable. Die Quelldaten führen die konkreten Auswirkungen auf die Authentifizierung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle im UrlGenerator auf: Routen-Parameter werden dabei gegen ein Pattern validiert; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 hängt SendmailTransport im -t-Modus Empfängeradressen fehlerhaft an den ausgehenden Mailversand an. Die Quelldaten führen die konkreten Auswirkungen nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Von Version 6.1.0-BETA1 bis 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die URL-Bereinigung des HtmlSanitizer; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das Wertobjekt Address der Mime-Komponente von Symfony wird von jeder Mailer-Adresse (to/cc/bcc/from/reply-to) durchlaufen; sein Konstruktor ist laut Dokumentation für die Validierung der Adresse zuständig. Die ausgewertete Quelle bricht an dieser Stelle ab, weitere Angaben zur konkreten Schwachstelle liegen nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default.

Symfony weist laut NVD eine Schwachstelle in OidcTokenHandler::verifyClaims() auf. Die Methode prüft laut Quelle den Audience-Claim (aud) sowie einen weiteren Claim; die Beschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 betrifft die Schwachstelle die Klasse ParameterizedHeader in der Mime-Komponente von Symfony; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Crawler::addXmlContent() der DomCrawler-Komponente konfiguriert vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 eine Validierungseinstellung des zugrunde liegenden DOMDocument-Objekts in einer Weise, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Von Version 6.4.24 bis 6.4.40 sowie in 7.4.12 und 8.0.12 escaped der file_excerpt-Twig-Filter des Entwicklungs-Profilers Inhalte fehlerhaft. Die Quelldaten führen die genaue Auswirkung nicht weiter aus. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

Symfony weist laut NVD eine Schwachstelle in der Cache-Komponente PdoAdapter auf. Die Methode doClear() erstellt dabei ein DELETE-Statement; die Quellbeschreibung bricht an dieser Stelle ab, weitere technische Details liegen nicht vor. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Vor den Versionen 7.4.12 und 8.0.12 sind die method-scoped Attribute #[IsGranted], #[IsSignatureValid] und #[IsCsrfTokenValid] von einem Fehlverhalten betroffen; die genaue Art der Auswirkung ist in den ausgewerteten Quelldaten nicht näher beschrieben. CVSS- und EPSS-Werte liegen nicht vor; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. In den Versionen 7.1.0 bis 7.4.12 sowie 8.0.12 baut der Cas2Handler den CAS-Service-Parameter aus Request-Daten auf; die Quelldaten brechen an dieser Stelle ab, weitere technische Details liegen nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 weist der server:log-Listener des Symfony\Bridge\Monolog-Kommandos eine Schwachstelle auf, die von den Quelldaten jedoch nicht im Detail ausgeführt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Betreiber betroffener Symfony-Versionen sollten das Update im Blick behalten, sobald die Herstellerdetails vollständig vorliegen.

Symfony, ein PHP-Framework für Web- und Konsolenanwendungen, weist laut NVD eine Schwachstelle im Parser auf, sofern dieser Angreifer-kontrolliertem Input ausgesetzt ist. Betroffen sind Versionen vor 5.4.52, 6.4.40, 7.4.12 und 8.0.12. Weitere Details zur konkreten Auswirkung liegen in den Quelldaten nicht vor, da die Beschreibung dort abbricht. Ein CVSS-Basiswert ist nicht angegeben. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen sowie eine Sammlung wiederverwendbarer PHP-Komponenten. Der Parser der Yaml-Komponente löst vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 YAML-Collection-Aliase auf eine Weise auf, die laut Herstellerangabe fehlerhaft ist. Weitere technische Details zu den Auswirkungen liegen in den ausgewerteten Quelldaten nicht vor. CVSS- und EPSS-Werte sind nicht angegeben; die Einstufung „Mittel“ ist ein neutraler Default. Empfohlene Massnahme: Aktualisierung auf Symfony 5.4.52, 6.4.40, 7.4.12 bzw. 8.0.12 oder neuer.

Symfony ist ein PHP-Framework für Web- und Konsolenanwendungen samt wiederverwendbarer Komponenten. Vor den Versionen 5.4.52, 6.4.40, 7.4.12 und 8.0.12 verwendet die Methode Parser::cleanup() der Komponente Symfony\Component\Yaml einen regulären Ausdruck, der bei speziell präparierter Eingabe zu übermässigem Backtracking und damit zu einem Denial of Service führen kann. Betroffen sind Anwendungen, die YAML-Eingaben aus nicht vertrauenswürdigen Quellen verarbeiten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.