CVE-2026-123824

Komponent Symfony Config XmlUtils::parse() umożliwia weryfikację DTD przed odrzuceniem dokumentów zawierających typ dokumentu, umożliwiając wstrzyknięcie zewnętrznej jednostki XML (XXE) w wersjach Symfony wcześniejszych niż 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23 i 8.x przed 8.1.11. Osoba atakująca zdalnie, która może dostarczyć kod XML do tej metody, może ustalić, czy istnieją pliki lokalne, spowodować odmowę usługi, a w niektórych konfiguracjach wydobyć zawartość pliku lokalnego za pomocą spreparowanego dokumentu XML, którego typ dokumentu deklaruje zewnętrzną jednostkę file://.
XmlUtils::parse() ustawia $dom->validateOnParse = true przed wywołaniem metody LoadXML() i odrzuca dopiero później dokumenty zawierające typ dokumentu. Włączenie sprawdzania poprawności DTD powoduje, że biblioteka libxml rozpoznaje zewnętrzne jednostki podczas funkcji LoadXML(), a biblioteka LIBXML_NONET blokuje http://, ale nie file://, więc jednostka file:// jest odczytywana z dysku przed uruchomieniem odrzucenia typu dokumentu. Zawartość pliku nie jest zwracana do wywołującego, ale wyraźny błąd libxml dotyczący brakującej ścieżki ujawnia, czy plik istnieje, a jednostka wskazująca duży lub wolny plik powoduje odmowę usługi. Jeśli aplikacja zarejestruje opakowanie strumienia obsługujące sieć, takie jak s3://, jednostka parametru może również wysłać zawartość pliku lokalnego na serwer zewnętrzny. Jest to ten sam problem, co w przypadku CVE-2026-45071, który został naprawiony w komponencie DomCrawler, ale nie w Config.

Narażone jest to na aplikacje, które przekazują niezaufany kod XML bezpośrednio do XmlUtils::parse(). Komponenty Symfony, które to nazywają, przetwarzają źródła dostarczone przez programistę lub skonfigurowane przez operatora, takie jak pliki konfiguracyjne i dokumenty XLIFF pobrane przez dostawców tłumaczeń.