Veille sécuritéBackend & données
P3Élevée
DataUriNormalizer reconnaissait le schéma data: avec une expression sensible à la casse, de sorte qu’un schéma écrit en majuscules pouvait être traité comme un chemin local. Une entrée désérialisée pouvait ainsi faire lire un fichier local accessible au processus PHP lorsque l’application utilise les types concernés.
Symfony
IdentifiantCVE-2026-121623
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.4.56; 6.4.50; 7.4.23; 8.1.11
Source : NVD — CVE-2026-121623
Analyse technique
Les valeurs au schéma data: en majuscules pouvaient être interprétées comme des chemins de fichiers plutôt que comme des URI de données.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06 à 16:17:52.780Z, dans la période demandée.
ImpactUn endpoint vulnérable peut traiter un fichier local lisible par PHP comme le contenu fourni pour un fichier.
Versions affectéesSymfony antérieur à 5.4.56, 6.4.50, 7.4.23 et 8.1.11
Version corrigée5.4.56; 6.4.50; 7.4.23; 8.1.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-11-06T16:17:52.780Z
Mise à jour2026-11-06T21:40:43.450Z
Détection / vérification
Rechercher les désérialisations de données non fiables vers File, SplFileInfo ou SplFileObject.
Action recommandée
Mettre à jour vers une version corrigée et éviter de désérialiser des données non fiables vers ces types de fichiers sans validation.
Sources
Priorisation DFS : P3 · 1 source(s).