製品・ソフトウェアに関する情報
Vulnerability Search
Sensio LabsのSymfonyにおける複数の脆弱性
Title Sensio LabsのSymfonyにおける複数の脆弱性
Summary

Symfonyは、ウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットを提供しています。6.4.40、7.4.12、および8.0.12以前のバージョンでは、MailjetメールブリッジおよびLOX24通知ブリッジのWebhookパーサーが設定されたWebhookシークレットを受け取っていましたが、それを検証していませんでした。そのため、認証されていないPOSTリクエストによって偽造されたMailjetおよびLOX24イベントのペイロードが注入される可能性がありました。この問題は、バージョン6.4.40、7.4.12、および8.0.12で修正されています。

Possible impacts ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date July 14, 2026, midnight
Registration Date July 17, 2026, 11:17 a.m.
Last Update July 17, 2026, 11:17 a.m.
CVSS3.0 : 警告
Score 5.3
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Affected System
Sensio Labs
Symfony 6.4.0 以上 6.4.40 未満
Symfony 7.0.0 以上 7.4.12 未満
Symfony 8.0.0 以上 8.0.12 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年07月17日]
  掲載		 July 17, 2026, 11:17 a.m.
NVD Vulnerability Information
CVE-2026-45754
Summary

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

Publication Date July 15, 2026, 4:17 a.m.
Registration Date July 16, 2026, 4:22 a.m.
Last Update July 16, 2026, 12:12 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 6.4.0 6.4.40
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 7.0.0 7.4.12
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 8.0.0 8.0.12
Related information, measures and tools
Common Vulnerabilities List