Symfony Expression Language: Denial of Service durch unbegrenzte Verschachtelung

Zusammenfassung

Der Parser der ExpressionLanguage-Komponente von Symfony erstellt Ausdrucksbäume ohne Begrenzung der Tiefe. Ein präparierter Ausdruck mit zehntausenden verschachtelten Operatoren, Array-Literalen oder Property-Zugriffen bringt den PHP-Prozess beim Freigeben des Baums zum Absturz. Der Validierungs-Constraint Assert\ExpressionSyntax von Symfony übergibt benutzerseitige Werte an diesen Parser, weshalb eine Anwendung, die Benutzern das Einreichen von Ausdrücken erlaubt, mit einer einzigen Anfrage zum Absturz gebracht werden kann.

Betroffen

• symfony/expression-language bis 5.4.53
• symfony/expression-language 6.0.0-BETA1 bis 6.4.47
• symfony/expression-language 7.0.0-BETA1 bis 7.4.20
• symfony/expression-language 8.0.0-BETA1 bis 8.1.8

Behoben in

• 5.4.54
• 6.4.48
• 7.4.21
• 8.1.9

Umgehung

• Keine bekannte Workaround-Lösung des Herstellers.
• Bis zur Behebung das Einreichen von Ausdrücken auf berechtigte Personen beschränken und deren Länge auf der Eingabeebene begrenzen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden; CISA KEV wurde nicht geprüft.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• symfony/expression-language auf die oben genannten Versionen aktualisieren, zum Beispiel mit composer update symfony/expression-language.
• Alle Symfony-Projekte mit composer audit prüfen, um betroffene Installationen zu finden.
• Anwendungen priorisieren, in denen Benutzer Ausdrücke schreiben oder einreichen können, etwa benutzerdefinierte Regeln oder Validierungen.
• Anwendungsprozesse auf unerwartete Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Symfony security advisory GHSA-7rpj-w9pf-39rr github.com
• Symfony blog: CVE-2026-109449 unbounded nesting in the expression parser symfony.com
• OSV: CVE-2026-109449 osv.dev
• Symfony PR 65690: Bound the nesting level of parsed expressions github.com
• Symfony PR 66720: Fix nesting level of chained ternaries github.com
• Symfony PR 66723: Bound the depth of the parsed node tree github.com
• Ubuntu security: CVE-2026-109449 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:28.