JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024065 Symfonyは、ウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.52、6.4.40、7.4.12、および8.0.12より前のPdoAdapter::doClear()は、呼び出し元が提供した$prefixから派生した名前空間を使用してDELETE文を構築します。しかし、この$prefixをバインドまたはエスケープせずに使用していたため、$prefixを操作可能な呼び出し元がLIKEリテラルを抜け出してクエリの意味論や削除範囲を変更できる問題がありました。この問題は、バージョン5.4.52、6.4.40、7.4.12、および8.0.12で修正されています。 cpe:/a:sensiolabs:symfony https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024065.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45073 https://www.cve.org/CVERecord?id=CVE-2026-45073 National Vulnerability Database (NVD) CVE-2026-45073 https://nvd.nist.gov/vuln/detail/CVE-2026-45073 GitHub SQL Injection in PdoAdapter::doClear() via Unsanitized $prefix Advisory symfony/symfony GitHub https://github.com/symfony/symfony/security/advisories/GHSA-6qh9-h6wf-jgqc JVNDB CWE-89 https://jvndb.jvn.jp/ja/cwe/CWE-89.html 関連文書 Release v8.0.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v8.0.12 関連文書 Release v6.4.40 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v6.4.40 関連文書 Release v7.4.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v7.4.12 関連文書 [Cache] Validate the prefix given to AbstractAdapter::clear() symfony/symfony@ec50b79 GitHub https://github.com/symfony/symfony/commit/ec50b799d79ebe24561f29351c1efcb6da95c9b1 関連文書 Release v5.4.52 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v5.4.52 2026-07-17T11:17:43+09:00 2026-07-17T11:17:43+09:00