Catalogo CVE

CVE-2026-109449

Gravità: High · CVSS 8.7CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published: Oct 15, 2026, 3:19:08 PM UTC
Updated: Oct 15, 2026, 4:17:43 PM UTC
Source: [NVD] · [CVE record]
EPSS: 0.52% · Oct 22, 2026

In Symfony Expression Language versions prior to 5.4.54, 6.4.48, 7.4.21, and 8.1.9, the parser of the ExpressionLanguage component built its node tree with no bound on its depth. An expression made of tens of thousands of nested unary operators, array literals, binary operators or property accesses crashed the PHP process, while the tree was being freed. #[Assert\ExpressionSyntax] passes the validated value to ExpressionLanguage::lint(), so an application validating expressions written by its users could be crashed by a single request, and so could any code parsing untrusted expressions. This issue affects symfony/expression-language through v5.4.53, v6.0.0-BETA1 through v6.4.47, v7.0.0-BETA1 through v7.4.20, and v8.0.0-BETA1 through v8.1.8.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

Distribution	Package	Release	Version	Status
Debian	symfony	sid	`7.4.21+dfsg-1`	fixed
Debian	symfony	forky	`7.4.21+dfsg-1`	fixed
Debian	symfony	trixie	`6.4.41+dfsg-0+deb13u1`	vulnerable
Debian	symfony	trixie-security	`6.4.41+dfsg-0+deb13u1`	vulnerable
Debian	symfony	bookworm	`5.4.53+dfsg-0+deb12u1`	vulnerable
Debian	symfony	bookworm-security	`5.4.53+dfsg-0+deb12u1`	vulnerable

Fixed-version evidence

Distribution	Package	Type	Release	Fixed version	Urgency	Origin	Bugs
Debian	symfony	source	sid	`7.4.21+dfsg-1`	not yet assigned	Not reported	Not reported
Debian	symfony	source	forky	`7.4.21+dfsg-1`	not yet assigned	Not reported	Not reported
Debian	symfony	source	trixie	`(unfixed)`	not yet assigned	Not reported	Not reported
Debian	symfony	source	bookworm	`(unfixed)`	not yet assigned	Not reported	Not reported

OpenFactory catalog packages

[Debian 12 (Bookworm)]

[php-symfony]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-all-my-sms-notifier]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-amazon-mailer]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-amazon-sns-notifier]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-amazon-sqs-messenger]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-amqp-messenger]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-asset]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-beanstalkd-messenger]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-browser-kit]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-cache]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-clickatell-notifier]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-config]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-console]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-crowdin-translation-provider]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-css-selector]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-debug-bundle]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-dependency-injection]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-discord-notifier]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-doctrine-bridge]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
[php-symfony-doctrine-messenger]Interessata
Pacchetto sorgente: [symfony]
Dettagli (4)
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12
- 5.4.53+dfsg-0+deb12u1 · all · bookworm-security
  Interessata
  nvd · symfony · debian · bookworm; nvd · symfony · debian · 12

Altri risultati

Osservato: Oct 24, 2026, 12:08:00 AM UTC

Riferimenti

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]