Cảnh báo bảo mật: Lỗ hổng CVE-2026-49211 trong Symfony UX cho phép khai thác Blind SQL Injection

Tổng quan về lỗ hổng CVE-2026-49211

Ngày 17/07/2026, thông tin về lỗ hổng bảo mật mang mã hiệu CVE-2026-49211 liên quan đến hệ sinh thái Symfony UX đã chính thức được công bố. Lỗ hổng này được xếp loại ở mức độ nghiêm trọng Cao (HIGH), ảnh hưởng đến nhiều hệ thống đang sử dụng thành phần Autocomplete trong Symfony UX để triển khai tính năng tìm kiếm tự động.

Cơ chế kỹ thuật và mức độ ảnh hưởng

Lỗ hổng xuất phát từ phương thức Symfony\UX\Autocomplete\Doctrine\EntitySearchUtil::addSearchClause(). Khi tạo biểu thức LIKE cho endpoint tự động hoàn thành (autocomplete), hệ thống thực hiện bọc chuỗi tìm kiếm do người dùng cung cấp trong định dạng %...%. Tuy nhiên, cơ chế này lại không thoát (escape) các ký tự đại diện (wildcards) đặc trưng của SQL LIKE bao gồm %, _, và \.

Việc thiếu hụt cơ chế xử lý dữ liệu đầu vào cho phép người dùng chưa xác thực có thể thao túng endpoint công khai BaseEntityAutocompleteType. Kẻ tấn công có thể biến các truy vấn thông thường thành một công cụ khớp dữ liệu diện rộng (broad matcher) hoặc kỹ thuật thăm dò blind boolean oracle. Từ đó, đối tượng xấu có khả năng trích xuất hoặc đoán biết dữ liệu lưu trữ trong tất cả các cột thuộc danh sách searchable_fields mặc định của ứng dụng.

Đối tượng bị ảnh hưởng

Lỗ hổng CVE-2026-49211 tác động trực tiếp đến các dự án sử dụng thư viện Symfony UX trong khoảng phiên bản sau:

• Các phiên bản từ 2.2.0 đến trước 2.36.0
• Các phiên bản dòng 3.x từ 3.0.0 đến trước 3.1.0

Khuyến nghị khắc phục

Để đảm bảo an toàn cho ứng dụng và dữ liệu người dùng, Bitech khuyến nghị các quản trị viên và nhóm phát triển nhanh chóng tiến hành các biện pháp khắc phục sau:

1. Cập nhật phiên bản: Tiến hành nâng cấp gói symfony/ux lên các phiên bản đã xử lý triệt để lỗ hổng:
   • Nâng cấp lên v2.36.0 nếu đang sử dụng nhánh 2.x.
   • Nâng cấp lên v3.1.0 nếu đang sử dụng nhánh 3.x.
2. Rà soát cấu hình: Kiểm tra danh sách các trường trong searchable_fields trên toàn bộ hệ thống để đảm bảo không vô tình công khai các dữ liệu nhạy cảm.
3. Giám sát lưu lượng: Kiểm tra nhật ký truy cập (access logs) đối với các yêu cầu gửi tới endpoint autocomplete để phát hiện kịp thời các chuỗi truy vấn bất thường chứa nhiều ký tự đại diện SQL.

Nguồn tham khảo

• Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-49211
• Bản vá lỗi trên GitHub: https://github.com/symfony/ux/commit/725ab3d40689c91ff19ad2d01940a30007769214
• Thông tin phát hành Symfony UX v2.36.0: https://github.com/symfony/ux/releases/tag/v2.36.0
• Thông tin phát hành Symfony UX v3.1.0: https://github.com/symfony/ux/releases/tag/v3.1.0

Ngày phát hành: 17/07/2026
Nguồn: NVD — CVE-2026-49211
Tham khảo: https://github.com/symfony/ux/commit/725ab3d40689c91ff19ad2d01940a30007769214
Tham khảo: https://github.com/symfony/ux/releases/tag/v2.36.0
Tham khảo: https://github.com/symfony/ux/releases/tag/v3.1.0