CVE.futuretools
FAQ
NVD NIST
CVE-2026-108082

Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header

CVSS 3.1High
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ v5.4.54, v6.4.46, v7.4.19, v8.1.7, 6.4.46, 7.4.19, 8.1.7, 5.4.54
Обновите Symfony до версий 5.4.54, 6.4.46, 7.4.19 или 8.1.7.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

ReDoS в методе HeaderUtils::split() фреймворка Symfony позволяет вызвать отказ в обслуживании через заголовок Cache-Control.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Регулярное выражение в HeaderUtils::split() сопоставляет пробелы альтернативной веткой токена вместе с ретроспективной проверкой (?<!\s). Последовательность пробелов перед разделителем вызывает катастрофический бэктрекинг. Метод вызывается HeaderBag для заголовка Cache-Control при сборке каждого HTTP-запроса.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

DoS: неаутентифицированный атакующий блокирует обработчики запросов отправкой специально сформированного заголовка Cache-Control, исчерпывая ресурсы CPU.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

sensiolabssymfony
>= v4.1.0-BETA1➔Fix: v5.4.54
sensiolabssymfony
>= v6.0.0-BETA1➔Fix: v6.4.46
sensiolabssymfony
>= v7.0.0-BETA1➔Fix: v7.4.19
sensiolabssymfony
>= v8.0.0-BETA1➔Fix: v8.1.7
——
>= 6.0.1➔Fix: 6.4.46
——
>= 7.0.0➔Fix: 7.4.19
——
>= 8.0.0➔Fix: 8.1.7
——
>= 6.0.1➔Fix: 6.4.46
——
>= 7.0.0➔Fix: 7.4.19
——
>= 8.0.0➔Fix: 8.1.7
——
>= 4.1.0➔Fix: 5.4.54
——
>= 4.1.0➔Fix: 5.4.54

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-108082: Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header. URL: https://cve.futuretools.ru/cve/CVE-2026-108082
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_108082,
  title = {{CVE-2026-108082: Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-108082}},
  note = {Оперативный инженерный анализ киберугроз}
}