Symfony HtmlSanitizer : contournement de listes d’hôtes avec certaines URL

Veille sécuritéBackend & données

P4Faible

UrlSanitizer pouvait interpréter certaines URL différemment des navigateurs et ne pas appliquer correctement les listes d’hôtes autorisés. Le problème concerne les configurations combinant une liste d’hôtes avec l’autorisation de liens ou médias relatifs ; mettre à niveau Symfony, ou éviter cette combinaison avant correction.

IdentifiantCVE-2026-118517

GravitéFaible

Exploitationnon connue / non déterminée

Correctif6.4.50, 7.4.23, 8.1.11

Source : NVD — CVE-2026-118517

Analyse technique

Le parseur fondé sur league/uri peut ne pas identifier d’hôte pour certaines URL mal formées, alors que les navigateurs les résolvent vers un hôte. La configuration par défaut n’est pas indiquée comme affectée.

Impact, versions et correctif

Événement datéNouvelle publication NVD datée du 2026-11-05T17:17:53.147Z, dans la période demandée ; l’entrée NVD modifiée du même jour est un doublon du même CVE.

ImpactDu contenu assaini peut référencer des hôtes non autorisés.

Versions affectéesSymfony 6.1.x avant 6.4.50, 7.x avant 7.4.23 et 8.x avant 8.1.11

Version corrigée6.4.50, 7.4.23, 8.1.11

ContournementÉviter de combiner une liste d’hôtes autorisés avec allowRelativeLinks(true) ou allowRelativeMedias(true) jusqu’à la mise à niveau.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.3

Publication2026-11-05T17:17:53.147Z

Mise à jour2026-11-05T17:17:53.147Z

Action recommandée

Mettre à niveau vers une version corrigée ; vérifier les configurations utilisant les listes d’hôtes et l’autorisation de liens ou médias relatifs.

Sources

NVD — CVE-2026-118517

Priorisation DFS : P4 · 1 source(s).