CVE-2026-108082
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Symfony to framework PHP dla aplikacji internetowych i konsolowych oraz zestaw komponentów PHP wielokrotnego użytku. Przed wersjami 5.4.54, 6.4.46, 7.4.19 i 8.1.7 funkcja HeaderUtils::split() analizowała wartości nagłówka za pomocą wzorca, którego alternatywa tokena również pasowała do białych znaków, po których następował znak (?<!\s). Ciąg białych znaków umieszczony przed separatorem można podzielić pomiędzy iteracje otaczającego powtórzenia na wykładniczo wiele sposobów, a silnik wypróbował je wszystkie przed ustaleniem. HeaderBag wywołuje tę funkcję dla nagłówka Cache-Control za każdym razem, gdy tworzone jest żądanie, dzięki czemu każda aplikacja obsługująca żądania HTTP jest osiągalna bez uwierzytelniania.
Pojedyncze żądanie niosące taki nagłówek kosztuje blisko sekundę procesora (813 ms dla ciągu 17 spacji w nagłówku 8 KB w PHP 8.5, podwajając się z każdą dodatkową spacją). Począwszy od 18 spacji, preg_match_all() poddaje się w pcre.backtrack_limit, a split() zwraca pustą tablicę, więc każda dyrektywa nagłówka jest dyskretnie odrzucana.
Ten problem dotyczy symfony/http-foundation v4.1.0-BETA1 do v5.4.53, v6.0.0-BETA1 do v6.4.45, v7.0.0-BETA1 do v7.4.18 i v8.0.0-BETA1 do v8.1.6.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org