https://alertas.dupin.com.ar/fabricante/sensiolabs/Alertas de vulnerabilidades de sensiolabs.esFri, 06 Nov 2026 17:43:01 +000010https://alertas.dupin.com.ar/cve/CVE-2026-123824/tg:63756Fri, 06 Nov 2026 17:43:01 +0000VulnerabilidadEl componente Symfony Config XmlUtils::parse() habilita la validación de DTD antes de rechazar documentos que llevan un doctype, lo que permite una inyección de entidades externas XML (XXE) en versiones de Symfony anteriores a 5.4.56, 6.x anteriores a 6.4.50, 7.x anteriores a 7.4.23 y 8.x anteriores a 8.1.11. Un atacante remoto que pueda suministrar XML a este método puede determinar si existen archivos locales, causar una denegación de servicio y, en algunas configuraciones, exfiltrar contenido de archivos…https://alertas.dupin.com.ar/cve/CVE-2026-123792/tg:63735Fri, 06 Nov 2026 16:02:33 +0000VulnerabilidadLos componentes Inline y Parser de Symfony Yaml analizan algunos documentos YAML de forma ineficiente, de modo que un documento pequeño y manipulado puede tardar desproporcionadamente en procesarse y mantener un proceso PHP ocupado durante segundos o minutos, lo que puede causar denegación de servicio en versiones de Symfony anteriores a 5.4.56, 6.x anteriores a 6.4.50, 7.x anteriores a 7.4.23 y 8.x anteriores a 8.1.11. El analizador repite trabajo ya hecho: un mapeo embebido en una secuencia de flujo se analiza…https://alertas.dupin.com.ar/cve/CVE-2026-123746/tg:63720Fri, 06 Nov 2026 14:22:12 +0000VulnerabilidadAuthenticatorManager::authenticateUser() del componente Security HTTP de Symfony no ejecuta el método checkPostAuth() del verificador de usuario del firewall cuando la autenticación es programática, por lo que una cuenta rechazada por un verificador personalizado, como una cuenta vencida, puede autenticarse. Afecta a versiones anteriores a 5.4.56, 6.x anteriores a 6.4.50, 7.x anteriores a 7.4.23 y 8.x anteriores a 8.1.11.https://alertas.dupin.com.ar/cve/CVE-2026-123125/tg:63537Thu, 05 Nov 2026 17:28:24 +0000VulnerabilidadEl IpValidator de Symfony clasifica de forma incompleta las direcciones internas en los modos filtrados de la restricción Ip, por lo que algunas direcciones internas se aceptan como públicas y pueden derivar en SSRF. Las banderas de PHP no cubren el espacio compartido 100.64.0.0/10 ni direcciones IPv6 IPv4-mapped, IPv4-compatible y 6to4 que embeben IPv4 internas, como ::ffff:127.0.0.1. Corregido en 5.4.56, 6.4.50, 7.4.23 y 8.1.11.https://alertas.dupin.com.ar/cve/CVE-2026-118517/tg:63525Thu, 05 Nov 2026 17:28:08 +0000VulnerabilidadUrlSanitizer del componente HtmlSanitizer de Symfony parsea URLs de forma distinta a los navegadores, permitiendo evadir allowLinkHosts() y allowMediaHosts() con URLs sin autoridad bien formada y referenciar hosts no confiables en la salida saneada. Formas como http:evil.example, ///evil.example o https://://evil.example/ no tienen host para el saneador pero los navegadores las resuelven a evil.example; la protección de CVE-2026-45066 omitió la forma sin barras y el host 0 se saltaba por ser falsy en PHP. Afecta…https://alertas.dupin.com.ar/cve/CVE-2026-121971/tg:63306Wed, 04 Nov 2026 19:42:50 +0000VulnerabilidadScopingHttpClient en Symfony HttpClient combina las opciones de su ámbito por defecto (como auth_bearer o auth_basic) antes de resolver una URL relativa contra base_uri, por lo que una referencia de ruta de red como "//evil.example/steal" se envía a otro origen junto con esas credenciales, lo que puede revelarlas a un servidor controlado por un atacante. Afecta a Symfony 5.x anteriores a 5.4.56, 6.x anteriores a 6.4.50, 7.x anteriores a 7.4.23 y 8.x anteriores a 8.1.11.https://alertas.dupin.com.ar/cve/CVE-2026-118516/tg:63261Wed, 04 Nov 2026 14:41:41 +0000VulnerabilidadCompiledUrlMatcher y UrlMatcher interpretan de forma distinta el host y la ruta, por lo que un placeholder de host puede coincidir con / y consumir el inicio de la ruta, eludiendo reglas de autorización basadas en ruta como access_control y patrones de firewall. Corregido en 5.4.56, 6.4.50, 7.4.23 y 8.1.11.https://alertas.dupin.com.ar/cve/CVE-2026-121373/tg:63256Wed, 04 Nov 2026 14:41:34 +0000VulnerabilidadLa corrección de CVE-2026-48761 usa una expresión regular demasiado restrictiva para la URL de refresh en meta tags, por lo que directivas válidas para el navegador se devuelven sin sanear y permiten redirecciones a sitios no confiables, eludiendo allowLinkSchemes y allowLinkHosts. Corregido en 6.4.50, 7.4.23 y 8.1.11.https://alertas.dupin.com.ar/cve/CVE-2026-109449/tg:59214Thu, 15 Oct 2026 16:17:41 +0000VulnerabilidadAntes de 5.4.54, 6.4.48, 7.4.21 y 8.1.9, el parser de ExpressionLanguage construye el árbol de nodos sin límite de profundidad. Una expresión con decenas de miles de operadores unarios, literales de array, operadores binarios o accesos a propiedades anidados provoca la caída del proceso PHP al liberar el árbol; como #[Assert\ExpressionSyntax] pasa el valor validado a ExpressionLanguage::lint(), una sola solicitud puede tumbar una aplicación que valide expresiones de sus usuarios.