P3 · Modérée · Symfony

Symfony : vulnérabilité

symfony/symfony : CVE-2026-109449: Unbounded Nesting in the Expression Parser Lets Untrusted Expressions Crash the Process

P3Modérée

Cycle de mise à jour mensuel

Pourquoi ce niveau : Gravité pas encore publiée : à requalifier dès que l'éditeur ou la NVD la donne.

Gravité à qualifier

Ce qu'il faut faire

Vérifier si vous êtes concerné

Versions ou systèmes touchés :
>=2.4.0,<3.0.0|>=3.0.0,<4.0.0|>=4.0.0,<5.0.0|>=5.0.0,<5.1.0|>=5.1.0,<5.2.0|>=5.2.0,<5.3.0|>=5.3.0,<5.4.0|>=5.4.0,<5.4.54|>=6.0.0,<6.1.0|>=6.1.0,<6.2.0|>=6.2.0,<6.3.0|>=6.3.0,<6.4.0|>=6.4.0,<6.4.48|>=7.0.0,<7.1.0|>=7.1.0,<7.2.0|>=7.2.0,<7.3.0|>=7.3.0,<7.4.0|>=7.4.0,<7.4.21|>=8.0.0,<8.1.0|>=8.1.0,<8.…
```
composer show "symfony/*"
php bin/console --version
```
Corriger

Versions corrigées : voir l'avis de l'éditeur (lien dans les sources).
Mettre à jour les composants Symfony concernés avec Composer, puis redéployer.
```
composer update "symfony/*" --with-all-dependencies
composer audit
```
En attendant le correctif

Désactiver la fonctionnalité concernée dans la configuration si possible.
Contrôler

composer audit ne doit plus signaler la faille.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

CVE-2026-109449: Unbounded Nesting in the Expression Parser Lets Untrusted Expressions Crash the Process

Symfony

14 oct. 2026, 10:00 Packagist — avis de sécurité Composer symfony/symfony : CVE-2026-109449: Unbounded Nesting in the Expression Parser Lets Untrusted Expressions Crash the Process
14 oct. 2026, 10:00 Packagist — avis de sécurité Composer symfony/expression-language : CVE-2026-109449: Unbounded Nesting in the Expression Parser Lets Untrusted Expressions Crash the Process