- Son 7 gün
- CWE-22
- CWE-73
CVE-2026-121623
Symfony DataUriNormalizer: Büyük/küçük harf duyarlı kontrol nedeniyle yerel dosya okuma açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Checkmarx
Yönetici özeti
Bu açık, sunucudaki dosyaların dış kişilerce okunmasına yol açabilir ve hassas bilgilerin sızması riskini doğurur. Etkilenen Symfony sürümleri kullanan sistemlerde güncelleme acil bir öncelik olmalıdır. Sistem yöneticileri ve geliştirme ekipleri bugün harekete geçmelidir.
ÖzetTürkçe
Symfony Serializer bileşenindeki DataUriNormalizer::denormalize metodu, data: şemasını büyük/küçük harf duyarlı bir düzenli ifadeyle kontrol ediyor. Şemanın büyük harfle yazıldığı değerler (örneğin DATA: ile başlayanlar) bu kontrolü aşarak veri URI'si yerine yerel dosya yolu olarak işleniyor ve sunucudaki dosya açılıyor. Symfony'nin 5.4.56 öncesi, 6.x için 6.4.50 öncesi, 7.x için 7.4.23 öncesi ve 8.x için 8.1.11 öncesi sürümleri etkilenmektedir. Güvenilmeyen girdiyi bu tiplerden birine çözümleyen her uç nokta risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, tek bir özel hazırlanmış istekle uygulamanın erişebildiği herhangi bir yerel dosyayı okuyabilir. Uç nokta herkese açıksa kimlik doğrulama gerekmeyebilir.
Kaynaktaki açıklama (İngilizce)
The Symfony Serializer component DataUriNormalizer::denormalize() matches the data: scheme with a case-sensitive regular expression, allowing a value with an uppercase scheme, such as DATA:,/../../../etc/passwd, to bypass it, resulting in Arbitrary Local File Read through Path Traversal in Symfony versions prior to 5.4.56, 6.x prior to 6.4.50, 7.x prior to 7.4.23, and 8.x prior to 8.1.11.
A value whose scheme is not lowercase data: are treated as a local file path and opened instead of being decoded as inline data, so the resulting File, \SplFileInfo, or \SplFileObject points at a file on the server, which the application then handles as the uploaded content.
Any endpoint that deserializes untrusted input into one of these types is affected. FrameworkBundle registers DataUriNormalizer ahead of ObjectNormalizer by default. A single request with a crafted DATA: value is enough to read arbitrary local files that the application can access, with no authentication needed if the endpoint is public.
Ne yapmalı?
- Symfony'yi, bu açığın giderildiği sürümlere güncelleyin: 5.4.56 veya sonrası, 6.4.50 veya sonrası, 7.4.23 veya sonrası ya da 8.1.11 veya sonrası. Genel öneri
- Güncelleme yapılana kadar, Serializer ile güvenilmeyen girdiyi File, SplFileInfo veya SplFileObject tiplerine çözümleyen uç noktaları geçici olarak devre dışı bırakın ya da bu girdileri doğrulayıp filtreleyin. Genel öneri
- Uygulamanın okuyabildiği hassas dosyaların izinlerini gözden geçirin ve gereksiz okuma yetkilerini kaldırın. Genel öneri
- Güncellemeden sonra, şemasında büyük harf içeren data: değerleriyle yapılan istekleri test ederek düzeltmenin çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Dış girdileri doğrudan nesnelere çözümlemek yerine, beklenen alanları açıkça tanımlanmış DTO'lar üzerinden işleyin. Genel öneri
- Dosya sistemi erişimini en az yetki ilkesine göre sınırlandırın; uygulama kullanıcısının gereksiz dosyaları okuyamamasını sağlayın. Genel öneri
- Sunucu günlüklerinde data: ile başlayan ancak büyük harf içeren parametreleri ve olağandışı dosya yolu girişimlerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| sensiolabs symfony | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.