Symfony Validator : des adresses internes pouvaient passer les modes filtrés de la contrainte Ip

Veille sécuritéBackend & données

P4Moyenne

Dans certains modes filtrés de la contrainte Ip, IpValidator pouvait accepter comme publiques des adresses internes ou des formes IPv6 intégrant une adresse IPv4 interne. Les applications qui s’appuient sur cette validation avant une requête côté serveur peuvent être exposées à une SSRF ; mettre à niveau Symfony vers une version corrigée.

IdentifiantCVE-2026-123125

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif5.4.56, 6.4.50, 7.4.23, 8.1.11

Source : NVD — CVE-2026-123125

Analyse technique

Les indicateurs PHP FILTER_FLAG_NO_PRIV_RANGE et FILTER_FLAG_NO_RES_RANGE ne couvraient pas toutes les plages et représentations concernées, notamment 100.64.0.0/10 et certaines adresses IPv6 intégrant une IPv4.

Impact, versions et correctif

Événement datéNouvelle publication NVD datée du 2026-11-05T16:17:46.940Z, dans la période demandée ; l’entrée NVD modifiée du même jour est un doublon du même CVE.

ImpactSSRF possible dans les applications qui utilisent cette validation pour autoriser des requêtes serveur.

Versions affectéesSymfony avant 5.4.56 ; branches 6.x avant 6.4.50, 7.x avant 7.4.23 et 8.x avant 8.1.11

Version corrigée5.4.56, 6.4.50, 7.4.23, 8.1.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

Publication2026-11-05T16:17:46.940Z

Mise à jour2026-11-05T17:18:03.140Z

Action recommandée

Mettre à niveau vers une version corrigée ; ne pas considérer la contrainte Ip affectée comme une protection suffisante contre l’accès aux adresses internes.

Sources

NVD — CVE-2026-123125

Priorisation DFS : P4 · 1 source(s).