Advisories for packages from symfony

Listing reported advisories for packages from symfony sorted by their report date.

CVE-2026-45133: YAML Parser Stack Exhaustion via Unbounded Recursion in Nested Blocks, Sequences, and Mappings
FriendsOfPHP

symfony/yaml

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45305: YAML Parser ReDoS via Catastrophic Backtracking in Parser::cleanup() Regex
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45304: YAML Parser Exponential Memory Allocation via Recursive Collection-Alias Expansion ("Billion Laughs")
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45077: Unauthenticated PHP Object Deserialization in MonologBridge server:log Listener
FriendsOfPHP

symfony/monolog-bridge

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45133: YAML Parser Stack Exhaustion via Unbounded Recursion in Nested Blocks, Sequences, and Mappings
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45077: Unauthenticated PHP Object Deserialization in MonologBridge server:log Listener
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45070: Email Header Injection via Non-Token Characters in Mime Parameter Names
FriendsOfPHP

symfony/mime

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45067: Email Header / SMTP Command Injection via CRLF in Symfony\Component\Mime\Address
FriendsOfPHP

symfony/mime

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45075: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12

2026-05-20 08:00:00
CVE-2026-45074: Cas2Handler Derives CAS service URL from Client Host Header → Cross-Service Ticket Replay
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0

2026-05-20 08:00:00
CVE-2026-45073: SQL Injection in PdoAdapter::doClear() via Unsanitized $prefix
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45755: Mailtrap Mailer Webhook Parser Never Verifies the X-Mt-Signature HMAC: Unauthenticated Webhook Event Injection
FriendsOfPHP

symfony/mailtrap-mailer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0

2026-05-20 08:00:00
CVE-2026-45072: Stored XSS in WebProfiler CodeExtension::fileExcerpt(): Unescaped Non-PHP File Rendering
FriendsOfPHP

symfony/symfony

>=6.4.24, <6.4.40 · >=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0 · >=7.2.9, <7.3.0

2026-05-20 08:00:00
CVE-2026-45754: Mailjet Mailer and LOX24 Notifier Webhook Parsers Never Verify the Configured Secret: Unauthenticated Webhook Event Injection
FriendsOfPHP

symfony/mailjet-mailer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0

2026-05-20 08:00:00
CVE-2026-45064: HtmlSanitizer URL Attributes Pass Through BiDi Override Characters → Visual href Spoofing
FriendsOfPHP

symfony/html-sanitizer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0

2026-05-20 08:00:00
CVE-2026-45068: Argument Injection in SendmailTransport via Dash-Prefixed Recipient Address
FriendsOfPHP

symfony/mailer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45066: HtmlSanitizer allowLinkHosts() / allowMediaHosts() Bypass via URL-Parser Differentials and <area> Misclassification
FriendsOfPHP

symfony/html-sanitizer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0

2026-05-20 08:00:00
CVE-2026-45754: Mailjet Mailer and LOX24 Notifier Webhook Parsers Never Verify the Configured Secret: Unauthenticated Webhook Event Injection
FriendsOfPHP

symfony/lox24-notifier

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0

2026-05-20 08:00:00
CVE-2026-45753: HtmlSanitizer UrlAttributeSanitizer Omits action/formaction/poster/cite: javascript: URI Survives Sanitization (XSS)
FriendsOfPHP

symfony/html-sanitizer

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0

2026-05-20 08:00:00
CVE-2026-45756: JsonPath Evaluates Attacker-Controlled Regular Expressions in match()/search() Without Limits: ReDoS
FriendsOfPHP

symfony/json-path

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0

2026-05-20 08:00:00
CVE-2026-45071: XXE (Local File Disclosure) in DomCrawler::addXmlContent() via validateOnParse = true
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45075: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
FriendsOfPHP

symfony/http-kernel

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12

2026-05-20 08:00:00
CVE-2026-45069: OidcTokenHandler Accepts JWTs Missing aud/iss/exp Claims
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=6.3.0, <6.4.0

2026-05-20 08:00:00
CVE-2026-45068: Argument Injection in SendmailTransport via Dash-Prefixed Recipient Address
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45067: Email Header / SMTP Command Injection via CRLF in Symfony\Component\Mime\Address
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45073: SQL Injection in PdoAdapter::doClear() via Unsanitized $prefix
FriendsOfPHP

symfony/cache

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45066: HtmlSanitizer allowLinkHosts() / allowMediaHosts() Bypass via URL-Parser Differentials and <area> Misclassification
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0

2026-05-20 08:00:00
CVE-2026-45065: UrlGenerator Route-Requirement Bypass via Unanchored Regex Alternation → Off-Site //host URL Injection
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45064: HtmlSanitizer URL Attributes Pass Through BiDi Override Characters → Visual href Spoofing
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0

2026-05-20 08:00:00
CVE-2026-45063: Identity Spoofing via Unanchored DN Regex in X509Authenticator
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45075: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
FriendsOfPHP

symfony/security-http

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12

2026-05-20 08:00:00
CVE-2026-45074: Cas2Handler Derives CAS service URL from Client Host Header → Cross-Service Ticket Replay
FriendsOfPHP

symfony/security-http

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0

2026-05-20 08:00:00
CVE-2026-47212: Twilio Notifier Webhook Parser Never Verifies the X-Twilio-Signature HMAC: Unauthenticated Webhook Event Injection
FriendsOfPHP

symfony/twilio-notifier

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0

2026-05-20 08:00:00
CVE-2026-45070: Email Header Injection via Non-Token Characters in Mime Parameter Names
FriendsOfPHP

symfony/symfony

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
CVE-2026-45072: Stored XSS in WebProfiler CodeExtension::fileExcerpt(): Unescaped Non-PHP File Rendering
FriendsOfPHP

symfony/twig-bridge

>=6.4.24, <6.4.40

2026-05-20 08:00:00
CVE-2026-45069: OidcTokenHandler Accepts JWTs Missing aud/iss/exp Claims
FriendsOfPHP

symfony/security-http

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=6.3.0, <6.4.0

2026-05-20 08:00:00
CVE-2026-45063: Identity Spoofing via Unanchored DN Regex in X509Authenticator
FriendsOfPHP

symfony/security-http

>=8.0.0, <8.0.12 · >=7.4.0, <7.4.12 · >=6.4.0, <6.4.40 · >=5.4.0, <5.4.52 · >=7.3.0, <7.4.0 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2026-05-20 08:00:00
Symfony's incorrect argument escaping under MSYS2/Git Bash can lead to destructive file operations on Windows
GitHub

symfony/process

>= 7.3, < 7.3.11 · >= 6.4, < 6.4.33 · >= 8.0, < 8.0.5 · >= 7.4, < 7.4.5 · < 5.4.51

2026-01-28 21:28:11
Symfony's incorrect parsing of PATH_INFO can lead to limited authorization bypass
GitHub

symfony/http-foundation

>= 6.0.0, < 6.4.29 · >= 2.0.0, < 5.4.50 · >= 7.0.0, < 7.3.7 · < 5.4.50

2025-11-12 21:50:38
CVE-2025-64500: Incorrect parsing of PATH_INFO can lead to limited authorization bypass
FriendsOfPHP

symfony/symfony

>=6.4.0, <6.4.29 · >=5.4.0, <5.4.50 · >=7.3.0, <7.3.7 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2025-11-12 11:09:14
CVE-2025-64500: Incorrect parsing of PATH_INFO can lead to limited authorization bypass
FriendsOfPHP

symfony/http-foundation

>=6.4.0, <6.4.29 · >=5.4.0, <5.4.50 · >=7.3.0, <7.3.7 · >=7.2.0, <7.3.0 · >=7.1.0, <7.2.0 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.0.0, <5.0.0 · >=3.0.0, <4.0.0 · >=2.0.0, <3.0.0

2025-11-12 11:09:14
Symfony UX allows unsanitized HTML attribute injection via ComponentAttributes
GitHub

symfony/ux-twig-component

< 2.25.1

2025-05-19 22:24:47
symfony/ux-twig-component Unsanitized HTML attribute injection via ComponentAttributes
FriendsOfPHP

symfony/ux-twig-component

<2.25.1

2025-05-19 12:05:00
symfony/ux-live-component Unsanitized HTML attribute injection via ComponentAttributes
FriendsOfPHP

symfony/ux-live-component

<2.25.1

2025-05-19 12:05:00
Symfony has an Authentication Bypass via RememberMe
GitHub

symfony/security-http

>= 6.0.0-BETA1, < 6.4.15 · >= 7.0.0-BETA1, < 7.1.8 · >= 5.3.0, < 5.4.47

2024-11-13 18:29:05
Symfony allows internal address and port enumeration by NoPrivateNetworkHttpClient
GitHub

symfony/http-client

>= 6.0.0, < 6.4.15 · >= 6.0.0, < 6.4.14 · >= 4.3.0, < 5.4.47 · >= 4.3.0, < 5.4.46 · >= 7.0.0, < 7.1.8 · >= 7.0.0, < 7.1.7

2024-11-13 16:27:49
CVE-2024-50342: Internal address and port enumeration allowed by NoPrivateNetworkHttpClient
FriendsOfPHP

symfony/symfony

>=6.4.0, <6.4.15 · >=5.4.0, <5.4.47 · >=7.1.0, <7.1.8 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.4.0, <5.0.0 · >=4.3.0, <4.4.0

2024-11-13 08:00:00
CVE-2024-51996: Authentication Bypass via persisted RememberMe cookie
FriendsOfPHP

symfony/security-http

>=6.4.0, <6.4.15 · >=5.4.0, <5.4.47 · >=7.1.0, <7.1.8 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0

2024-11-13 08:00:00
CVE-2024-51996: Authentication Bypass via persisted RememberMe cookie
FriendsOfPHP

symfony/symfony

>=6.4.0, <6.4.15 · >=5.4.0, <5.4.47 · >=7.1.0, <7.1.8 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0

2024-11-13 08:00:00
CVE-2024-50342: Internal address and port enumeration allowed by NoPrivateNetworkHttpClient
FriendsOfPHP

symfony/http-client

>=6.4.0, <6.4.15 · >=5.4.0, <5.4.47 · >=7.1.0, <7.1.8 · >=7.0.0, <7.1.0 · >=6.3.0, <6.4.0 · >=6.2.0, <6.3.0 · >=6.1.0, <6.2.0 · >=6.0.0, <6.1.0 · >=5.3.0, <5.4.0 · >=5.2.0, <5.3.0 · >=5.1.0, <5.2.0 · >=5.0.0, <5.1.0 · >=4.4.0, <5.0.0 · >=4.3.0, <4.4.0

2024-11-13 08:00:00
« Previous Next »

Showing 51 to 100 of 340 results

1 2 3 4 5 6 7