Symfony - CVE-2026-55878

Il s'agit d'une vulnérabilité dans la commande ux:install, qui installe les fichiers d'un kit de recette en copiant les chemins listés dans une carte copy-files.

Symfony UX est un écosystème JavaScript pour le framework Symfony, incluant le paquet ux-toolkit qui fournit une commande d'installation de kits de composants front-end via un système de recettes.

La seule protection contre les chemins malveillants repose sur la fonction Path::isRelative(), qui retourne vrai pour des chemins tels que ../../../etc. La fonction Path::join() résout ensuite les segments .. sans contrôle, ce qui permet au chemin final de s'échapper du répertoire prévu. Un kit forgé ou compromis peut ainsi écrire un contenu contrôlé par l'attaquant vers des emplacements arbitraires sur la machine du développeur ou sur un runner CI, l'opération de copie créant les répertoires parents manquants et pouvant écraser silencieusement des fichiers existants. Le volet source de copy-files est également affecté, permettant la lecture de fichiers locaux hors du répertoire de la recette.

Elle permet l'exécution de code à distance en écrasant des fichiers sensibles tels que des contrôleurs, des hooks git ou un fichier .env.