Symfony HttpClient : l’adresse IP vérifiée n’était pas épinglée pour les hôtes mis en cache

Veille sécuritéBackend & données

P4Faible

Dans NoPrivateNetworkHttpClient, les requêtes suivantes vers un hôte mis en cache pouvaient résoudre à nouveau son nom DNS sans épingler l’adresse IP préalablement vérifiée. Un attaquant contrôlant le DNS pouvait ainsi provoquer des connexions vers des adresses privées et inférer l’état de ports internes ; mettre à niveau Symfony vers une version corrigée.

IdentifiantCVE-2026-123119

GravitéFaible

Exploitationnon connue / non déterminée

Correctif5.4.56, 6.4.50, 7.4.23, 8.1.11

Source : NVD — CVE-2026-123119

Analyse technique

Le client décoré ne recevait l’option resolve avec l’adresse vérifiée que lors de la première résolution de l’hôte. La vérification ultérieure de l’adresse primaire pouvait interrompre la requête avant l’envoi de données, mais la connexion permettait une inférence selon que le port était ouvert ou fermé.

Impact, versions et correctif

Événement datéNouvelle publication NVD datée du 2026-11-05T13:17:07.640Z, dans la période demandée ; l’entrée NVD modifiée du même jour est un doublon du même CVE.

ImpactÉnumération possible d’hôtes et de ports internes via des requêtes HTTP affectées.

Versions affectéesSymfony avant 5.4.56 ; branches 6.x avant 6.4.50, 7.x avant 7.4.23 et 8.x avant 8.1.11

Version corrigée5.4.56, 6.4.50, 7.4.23, 8.1.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.3

Publication2026-11-05T13:17:07.640Z

Mise à jour2026-11-05T19:17:17.493Z

Action recommandée

Mettre à niveau vers une version corrigée de Symfony.

Sources

NVD — CVE-2026-123119

Priorisation DFS : P4 · 1 source(s).