Veille sécuritéBackend & données
P4Moyenne
Des restrictions configurées pour GET pouvaient ne pas s’appliquer à HEAD, alors que le routeur traite HEAD avec le gestionnaire GET. Une requête HEAD pouvait ainsi contourner des règles ou firewalls limités à GET.
Symfony
IdentifiantCVE-2026-118514
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.4.56; 6.4.50; 7.4.23; 8.1.11
Source : NVD — CVE-2026-118514
Analyse technique
RequestMatcher et MethodRequestMatcher comparaient la méthode HTTP littéralement et ne faisaient pas correspondre HEAD à une règle GET.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06 à 15:17:11.907Z, dans la période demandée.
ImpactUne requête HEAD peut atteindre une route ou un contrôleur sans appliquer une restriction configurée uniquement pour GET.
Versions affectéessymfony/http-foundation antérieur à 5.4.56, 6.4.50, 7.4.23 et 8.1.11
Version corrigée5.4.56; 6.4.50; 7.4.23; 8.1.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-11-06T15:17:11.907Z
Mise à jour2026-11-06T21:40:43.450Z
Détection / vérification
Examiner les règles access_control, les options methods des firewalls et les RequestMatcher utilisés par l’application.
Action recommandée
Mettre à jour vers une version corrigée et vérifier que les contrôles d’accès et firewalls couvrent correctement HEAD.
Sources
Priorisation DFS : P4 · 1 source(s).