JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024067 SymfonyはWebおよびコンソールアプリケーション用のPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.52、6.4.40、7.4.12、および8.0.12より前のCrawler::addXmlContent()は、loadXML()の前にDOMDocument::$validateOnParseをtrueに設定していました。これにより外部エンティティの解決が再度有効化され、攻撃者が提供したXMLがfile://エンティティ（ローカルファイルなど）を展開できる状態となっていました。この問題はバージョン5.4.52、6.4.40、7.4.12、および8.0.12で修正されています。 cpe:/a:sensiolabs:symfony https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024067.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45071 https://www.cve.org/CVERecord?id=CVE-2026-45071 National Vulnerability Database (NVD) CVE-2026-45071 https://nvd.nist.gov/vuln/detail/CVE-2026-45071 GitHub XXE (Local File Disclosure) in DomCrawler::addXmlContent() via validateOnParse = true Advisory symfony/symfony GitHub https://github.com/symfony/symfony/security/advisories/GHSA-x6g4-fwcc-jj8w JVNDB CWE-611 https://cwe.mitre.org/data/definitions/611.html 関連文書 Release v8.0.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v8.0.12 関連文書 Release v6.4.40 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v6.4.40 関連文書 Release v7.4.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v7.4.12 関連文書 [DomCrawler] Fix XXE in addXmlContent() by not enabling `validateOnPa… symfony/symfony@eea5fd7 GitHub https://github.com/symfony/symfony/commit/eea5fd7488cbdc241da4ce242344b7d9a3ecdf3d 関連文書 Release v5.4.52 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v5.4.52 2026-07-17T11:17:49+09:00 2026-07-17T11:17:49+09:00