GHSA-2v3c-qxhr-7vpv / CVE-2026-109413
WATRIX GUIDE
影響する
使用技術の兆候から要確認を案内Symfonyの
Symfony の版は外からは確定できません。2026年10月27日に、ログインなしで負荷をかけてサービスを止められるおそれがある脆弱性2件（YAML の入れ子が深い文書を処理するとき: GHSA-2v3c-qxhr-7vpv、Cache-Control ヘッダの解析に時間がかかるとき: GHSA-r925-mgvr-h9cc）が公表されました。影響を受けるのは symfony/symfony 等の 5.4.54 より前、6.x は 6.4.48 より前、7.x は 7.4.21 より前、8.x は 8.1.9 より前です（YAML の脆弱性は 6.4.45、7.4.18、8.1.6 より前）。危ないかもしれないので、composer.lock で symfony/symfony（symfony/yaml、symfony/http-foundation）の版を調べてください。
WATRIXの関連する日本語解説／確認日：2026/10/28。公開元の原典とは区別して掲載しています。
影響を確かめるには
- 無料診断では、外部から見える技術の使用の兆候を調べます。バージョンや脆弱性への該当は確定できません。
- 管理画面やサーバ内の構成・設定を確認する必要があります。
対処の進め方
- Symfony を 5.4.54 以降、6.x は 6.4.48 以降、7.x は 7.4.21 以降、8.x は 8.1.9 以降へ更新してください
- CVSS
- 8.7
- 公開元の公表日時
- 2026/10/28 4:01
- 公開元の更新日時
- 2026/10/28 4:01
- 当サイトの収集処理
- 2026/10/31 17:00
原典の説明
公開元の記載です。上のWATRIXの日本語解説と併せて、最新の情報をご確認ください。
Symfony: Unbounded Recursion in the YAML Inline Lexer Lets a Single Document Crash the Process
### Description `Yaml\Parser::lexInlineStructure()` recursed through `lexInlineMapping()` and `lexInlineSequence()` for every `{` and `[` of an inline collection, without entering the nesting level that the rest of the parser bounds with `maxNestingLevel`. A document made of deeply nested inline collections, such as `[[[[...]]]]`, exhausted the stack while it was being lexed: depending on the PHP version and its stack settings, the process crashed or the request ended with a fatal error. Any code parsing untrusted YAML is affected. That includes `#[MapRequestPayload]` when the Yaml component is installed and the endpoint does not restrict `acceptFormat`: a single unauthenticated request with a YAML content type is enough. ### Resolution The inline lexer now enters and leaves the same nesting level as the rest of the parser, so nested inline collections are bounded by `maxNestingLevel`, and the parser raises a `ParseException` beyond it. The patches for this issue are available [here](https://github.com/symfony/symfony/commit/2a8bf9c58d862b0c76a35ce288d1ba6a27223aad) for branch 5.4 (and forward-ported to 6.4, 7.4, 8.1 and 8.2). ### Credits We would like to thank Nicolas Grekas for reporting the issue and providing the fix. ### References - Fix: [#65688](https://github.com/symfony/symfony/pull/65688)
公開元の対処情報
個別の対処手順は未記録です。開発元の最新の案内と、対象の製品・系列に合う修正版を確認してください。
出典・著作権・ライセンスを確認する
- 出典
GitHub Advisory Database
- 利用許諾
CC-BY-4.0
- 利用条件
当サイトでの保存履歴
当サイトが取得した原本の履歴です。公開元での過去の改訂日時とは異なります。
初回保存のみです。訂正前の版はまだありません。
現在の保存内容2026/10/31 17:00
掲載中修正版あり
このページは公表情報を確認するためのデータです。製品を使っているだけで被害や脆弱性への該当が確定するものではありません。現在のバージョン、設定条件、開発元の更新情報を確認してください。