Anmelden
Deutsch English Español Polski
Niedrig

Symfony's YAML Parser has a ReDoS via Catastrophic Backtracking in Parser::cleanup() Regex

  • Veröffentlicht: 27.05.2026
  • Aktualisiert: 11.10.2026 10:22

Description

Symfony\Component\Yaml\Parser::cleanup() strips the optional %YAML directive header, leading comments, and document start/end markers before parsing. The original regexes contained overlapping quantifiers, most notably '#^%YAML[: ][\d.]+.*\n#u', whose [\d.]+ and .* overlap on the dot, that exhibit catastrophic backtracking on crafted input. A single oversized %YAML directive header (or comment / document-marker line) makes the parser hang for an arbitrarily long time, denying service.

Resolution

The four regexes in Parser::cleanup() (YAML directive header, leading comments, document-start marker, document-end marker) have been rewritten with possessive quantifiers and unambiguous character classes so backtracking cannot occur.

The patch for this issue is available here for branch 5.4.

Credits

Symfony would like to thank Pietro Tirenna (Shielder) for reporting the issue and Nicolas Grekas for fixing it.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket symfony/symfony < 5.4.52, >= 6.0.0, < 6.4.40, >= 7.0.0, < 7.4.12, >= 8.0.0, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12
Composer-Paket symfony/yaml < 5.4.52, >= 6.0.0, < 6.4.40, >= 7.0.0, < 7.4.12, >= 8.0.0, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U
Schwäche (CWE)
CWE-1333
Plattform
Composer
Paket
symfony/symfony, symfony/yaml
Veröffentlicht
27.05.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-9frc-8383-795m - CC BY 4.0

Schwachstellenhistorie: symfony/symfony

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (100) im Archiv
Einträge insgesamt
100
Erste → letzte
11.2019 06.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 8
  • Hoch 28
  • Mittel 51
  • Niedrig 13

Veröffentlichungen pro Jahr

Schweregrad:
  1. Symfony: Security Firewall Bypass via failure_forward Subrequest: Unauthenticated Access to access_control-Protected GET Routes
    Hoch CVE-2026-48489 < 5.4.53, >= 6.0.0, < 6.4.41, >= 7.0.0, < 7.4.13, >= 8.0.0, < 8.0.13 5.4.53, 6.4.41, 7.4.13, 8.0.13
  2. Symfony's YAML Parser has a ReDoS via Catastrophic Backtracking in Parser::cleanup() Regex dieser Eintrag
    Niedrig CVE-2026-45305 < 5.4.52, >= 6.0.0, < 6.4.40, >= 7.0.0, < 7.4.12, >= 8.0.0, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12
  3. Symfony has Unauthenticated PHP Object Deserialization in MonologBridge server:log Listener
    Hoch CVE-2026-45077 < 5.4.52, >= 6.0.0, < 6.4.40, >= 7.0.0, < 7.4.12, >= 8.0.0, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12
  4. Symfony's HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
    Hoch CVE-2026-45075 >= 7.4.0, < 7.4.12, >= 8.0.0, < 8.0.12 7.4.12, 8.0.12
  5. Symfony has Email Header / SMTP Command Injection via CRLF in Symfony\Component\Mime\Address
    Hoch CVE-2026-45067 < 5.4.52, >= 6.0.0, < 6.4.40, >= 7.0.0, < 7.4.12, >= 8.0.0, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12
  6. Symfony Vulnerable to Identity Spoofing via Unanchored DN Regex in X509Authenticator
    Hoch CVE-2026-45063 < 5.4.52, >= 6.0.0-BETA1, < 6.4.40, >= 7.0.0-BETA1, < 7.4.12, >= 8.0.0-BETA1, < 8.0.12 5.4.52, 6.4.40, 7.4.12, 8.0.12
  7. Symfony's incorrect parsing of PATH_INFO can lead to limited authorization bypass
    Hoch · 7.3 CVE-2025-64500 >= 2.0.0, < 5.4.50, >= 6.0.0, < 6.4.29, >= 7.0.0, < 7.3.7 5.4.50, 6.4.29, 7.3.7
  8. Symfony vulnerable to command execution hijack on Windows with Process class
    Hoch · 8.4 CVE-2024-51736 < 5.4.46, >= 6.0.0, < 6.4.14, >= 7.0.0, < 7.1.7 5.4.46, 6.4.14, 7.1.7
  9. Symfony Cross-Site Request Forgery vulnerability in the Web Profiler
    Hoch · 8.1 CVE-2014-6072 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
  10. Symfony XML Entity Expansion security vulnerability
    Hoch · 7.5 ghsa-q2gc-gg3x-7942 >= 2.0.0, < 2.0.17 2.0.17
  11. Symfony XML decoding attack vector through external entities
    Kritisch · 9.8 ghsa-mmcv-fvq8-r9x3 >= 2.0.0, < 2.0.11 2.0.11
  12. Symfony allows direct access of ESI URLs behind a trusted proxy
    Hoch · 7.5 CVE-2014-5245 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
  13. Symfony vulnerable to denial of service via a malicious HTTP Host header
    Hoch · 7.5 CVE-2014-5244 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
  14. Code injection in the way Symfony implements translation caching in FrameworkBundle
    Hoch · 7.5 CVE-2014-4931 >= 2.0.0, < 2.3.19, >= 2.4.0, < 2.4.9, >= 2.5.0, < 2.5.4 2.3.19, 2.4.9, 2.5.4
  15. Symfony Incorrect Access Control
    Kritisch · 9.8 CVE-2017-11365 >= 2.7.30, < 2.7.32, >= 2.8.23, < 2.8.25, >= 3.2.10, < 3.2.12, >= 3.3.3, < 3.3.5 2.7.32, 2.8.25, 3.2.12, 3.3.5
  16. Symphony Denial of Service Via Overlong Usernames
    Hoch · 7.5 CVE-2016-4423 >= 2.3.0, < 2.3.41, >= 2.4.0, < 2.7.13, >= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6 2.3.41, 2.7.13, 2.8.6, 3.0.6
  17. Symfony Cryptographic Vulnerability
    Hoch · 7.5 CVE-2016-1902 >= 2.3.0, < 2.3.37, >= 2.4.0, < 2.6.13, >= 2.7.0, < 2.7.9 2.3.37, 2.6.13, 2.7.9
  18. Symfony Vulnerable to Timing Attack
    Hoch CVE-2015-8125 >= 2.3.0, < 2.3.35, >= 2.7.0, < 2.7.7, >= 2.4.0, < 2.6.12 2.3.35, 2.7.7, 2.6.12
  19. Symphony Vulnerable to PHP Code Injection via YAML Parsing
    Hoch CVE-2013-1348 >= 2.0.0, < 2.0.22 2.0.22
  20. Symfony Arbitrary PHP code Execution
    Hoch CVE-2013-1397 >= 2.2.0-BETA1, < 2.2.0-BETA2, >= 2.0.0, < 2.0.22, >= 2.1.0, < 2.1.7 2.2.0-BETA2, 2.0.22, 2.1.7
  21. Symfony Authentication Bypass
    Kritisch · 9.8 CVE-2018-11407 >= 2.8.0, < 2.8.37, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.7, >= 4.0.0, < 4.0.7 2.8.37, 3.3.17, 3.4.7, 4.0.7
  22. Symfony Authentication Bypass
    Kritisch · 9.8 CVE-2016-2403 >= 2.8.0, < 2.8.6, >= 3.0.0, < 3.0.6 2.8.6, 3.0.6
  23. Symfony Host Header Injection
    Hoch · 7.2 CVE-2018-14774 >= 2.7.0, < 2.7.49, >= 2.8.0, < 2.8.44, >= 3.3.0, < 3.3.18, >= 3.4.0, < 3.4.14, >= 4.0.0, < 4.0.14, >= 4.1.0, < 4.1.3 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, 4.1.3
  24. Symfony Session Fixation Vulnerability
    Hoch · 8.1 CVE-2018-11385 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
  25. Symfony Directory Traversal
    Hoch · 7.5 CVE-2017-16654 >= 2.7.0, < 2.7.38, >= 2.8.0, < 2.8.31, >= 3.0.0, < 3.2.14, >= 3.3.0, < 3.3.13 2.7.38, 2.8.31, 3.2.14, 3.3.13
  26. Symfony CSRF Token Fixation
    Hoch · 8.8 CVE-2018-11406 >= 2.7.0, < 2.7.48, >= 2.8.0, < 2.8.41, >= 3.0.0, < 3.3.17, >= 3.4.0, < 3.4.11, >= 4.0.0, < 4.0.11 2.7.48, 2.8.41, 3.3.17, 3.4.11, 4.0.11
  27. Symfony collectionCascaded and collectionCascadedDeeply fields security bypass
    Hoch · 8.1 CVE-2013-4751 >= 2.0.0, < 2.0.24, >= 2.1.0, < 2.1.12, >= 2.2.0, < 2.2.5, >= 2.3.0, < 2.3.3 2.0.24, 2.1.12, 2.2.5, 2.3.3
  28. Symfony Http-Kernel has non-constant time comparison in UriSigner
    Hoch · 8.1 CVE-2019-18887 >= 2.2.0, < 2.8.52, >= 3.0.0, < 3.4.35, >= 4.0.0, < 4.2.12, >= 4.3.0, < 4.3.8 2.8.52, 3.4.35, 4.2.12, 4.3.8
  29. RCE in Symfony
    Hoch · 8.0 CVE-2020-15094 >= 4.3.0, < 4.4.13, >= 5.0.0, < 5.1.5 4.4.13, 5.1.5
  30. Firewall configured with unanimous strategy was not actually unanimous in Symfony
    Hoch · 7.6 CVE-2020-5275 >= 4.4.0, < 4.4.7, >= 5.0.0, < 5.0.7 4.4.7, 5.0.7
  31. Improper authentication in Symfony
    Hoch · 7.5 CVE-2019-10911 >= 2.7.0, < 2.7.51, >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.7.51, 2.8.50, 3.4.26, 4.1.12, 4.2.7
  32. Deserialization of untrusted data in Symfony
    Hoch · 7.1 CVE-2019-10912 >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.8.50, 3.4.26, 4.1.12, 4.2.7
  33. Improper Input Validation in Symfony
    Kritisch · 9.8 CVE-2019-11325 >= 4.2.0, < 4.2.12, >= 4.3.0, < 4.3.8 4.2.12, 4.3.8
  34. Invalid HTTP method overrides allow possible XSS or other attacks in Symfony
    Kritisch · 9.8 CVE-2019-10913 >= 2.7.0, < 2.7.51, >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.7.51, 2.8.50, 3.4.26, 4.1.12, 4.2.7
  35. Argument injection in a MimeTypeGuesser in Symfony
    Hoch · 7.5 CVE-2019-18888 >= 2.0.0, < 2.8.52, >= 3.0.0, < 3.4.35, >= 4.0.0, < 4.2.12, >= 4.3.0, < 4.3.8 2.8.52, 3.4.35, 4.2.12, 4.3.8
  36. Symfony Unsafe Cache Serialization Could Enable RCE
    Kritisch · 9.8 CVE-2019-18889 >= 3.1.0, < 3.4.35, >= 4.0.0, < 4.2.12, >= 4.3.0, < 4.3.8 3.4.35, 4.2.12, 4.3.8
  37. Symfony Service IDs Allow Injection
    Kritisch · 9.8 CVE-2019-10910 >= 2.7.0, < 2.7.51, >= 2.8.0, < 2.8.50, >= 3.0.0, < 3.4.26, >= 4.0.0, < 4.1.12, >= 4.2.0, < 4.2.7 2.7.51, 2.8.50, 3.4.26, 4.1.12, 4.2.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.