JVNDB-2026-024061

Sensio LabsのSymfonyにおける複数の脆弱性

Symfonyはウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.52、6.4.40、7.4.12、および8.0.12より前のバージョンでは、パーサーが攻撃者が制御する入力にさらされると、深くネストされたマッピングやシーケンスがブロックレベル（Parser::parseBlock()）およびインライン（Inline::parseSequence() / Inline::parseMapping()）の両方のパーサーで深さの制限なく再帰を引き起こします。細工されたドキュメントはPHPのスタックを枯渇させ、ワーカーをクラッシュさせる問題が発生します。この問題はバージョン5.4.52、6.4.40、7.4.12、および8.0.12で修正されています。

Sensio Labs

• Symfony 5.4.52 未満
• Symfony 6.0.0 以上 6.4.40 未満
• Symfony 7.0.0 以上 7.4.12 未満
• Symfony 8.0.0 以上 8.0.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : YAML Parser Stack Exhaustion via Unbounded Recursion in Nested Blocks, Sequences, and Mappings  Advisory  symfony/symfony  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]
2. 不適切な再帰制御(CWE-674) [その他]
3. DTD の再帰的なエンティティ参照の不適切な制限(CWE-776) [その他]

1. CVE-2026-45133

1. National Vulnerability Database (NVD) : CVE-2026-45133
2. 関連文書 : Release v6.4.40  symfony/symfony  GitHub
3. 関連文書 : Release v7.4.12  symfony/symfony  GitHub
4. 関連文書 : Release v8.0.12  symfony/symfony  GitHub
5. 関連文書 : Release v5.4.52  symfony/symfony  GitHub

• [2026年07月17日]
    掲載