CVE-2026-123792 in Symfony
Sumário
de VulDB • 06/11/2026
Os componentes Inline e Parser do Symfony Yaml analisam alguns documentos YAML de forma ineficiente, fazendo com que um documento pequeno e manipulado adote desproporcionalmente muito tempo para ser processado, mantendo o processo PHP ocupado por segundos ou minutos, potencialmente causando uma negação de serviço (DoS) nas versões do Symfony anteriores a 5.4.56, 6.x anteriores a 6.4.50, 7.x anteriores a 7.4.23 e 8.x anteriores a 8.1.11.
O analisador repete o trabalho já realizado em vários lugares. Um mapeamento embutido em uma sequência de fluxo é analisado novamente para cada escalar anexado a ele, assim como as coleções aninhadas nele; portanto, o tempo de análise cresce exponencialmente com a profundidade do aninhamento. Os padrões que correspondem às chaves de mapeamento e tags verificam uma sequência de espaços uma vez por caractere da sequência, e cada escalar de uma coleção de fluxo é comparado contra uma cópia do restante da coleção; assim, o tempo de análise cresce quadraticamente com o tamanho da entrada. Blocos aninhados também são copiados em cada nível de aninhamento, consumindo memória além de tempo. Algumas outras construções, como um item de sequência vazio seguido por uma linha em branco ou um âncora nomeada 0, acionam trabalho repetido semelhante.
Qualquer código que analise YAML não confiável é afetado com as sinalizações padrão. No Symfony 7.4 e posterior, isso inclui #[MapRequestPayload] quando o componente Yaml está instalado e o endpoint não restringe acceptFormat. Uma única solicitação não autenticada com um tipo de conteúdo YAML mantém um worker PHP ocupado até atingir max_execution_time. Documentos JSON são válidos como YAML; portanto, uma carga útil JSON enviada com um tipo de conteúdo YAML é suficiente para o caso de coleção de fluxo. No Symfony 6.4, #[MapRequestPayload] aceita YAML apenas quando a aplicação registra um formato yaml.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.