Symfony : contournement d’authentification par falsification de DN X.509

Veille sécuritéBackend & données

P3Élevée

Un défaut d’analyse des noms distinctifs X.509 peut permettre à une personne disposant d’un certificat émis par l’AC de confiance et pouvant influencer le CN de s’authentifier comme un autre utilisateur, éventuellement privilégié. Le correctif analyse les RDN séparément en tenant compte des séparateurs échappés.

IdentifiantCVE-2026-118513

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif5.4.56, 6.4.50, 7.4.23, 8.1.11

Source : NVD — CVE-2026-118513

Analyse technique

La vulnérabilité concerne l’interprétation des séparateurs dans les DN RFC 2253 et dans le format historique X509_NAME_oneline(). Les applications utilisant une clé utilisateur par attribut, ou dont l’AC contrôle et valide le sujet du certificat, sont indiquées comme non affectées.

Impact, versions et correctif

Événement datéL’avis du projet Symfony et la publication CVE datent du 2026-11-04, dans la période demandée. La mise à jour NVD du même jour est une information complémentaire sur cette vulnérabilité, pas un événement distinct.

ImpactUsurpation d’identité et contournement de l’authentification, pouvant donner accès à un compte privilégié.

Versions affectéesSymfony Security HTTP : versions antérieures à 5.4.56, 6.4.50, 7.4.23 et 8.1.11, selon la branche.

Version corrigée5.4.56, 6.4.50, 7.4.23, 8.1.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.7

Publication2026-11-04

Mise à jour2026-11-04

Détection / vérification

Vérifier si les versions de Symfony Security HTTP déployées sont antérieures aux versions corrigées et si l’authentification X.509 s’appuie sur l’extraction d’un identifiant depuis le DN.

Action recommandée

Mettre à niveau Symfony Security HTTP vers la version corrigée de la branche utilisée.

Sources

NVD — CVE-2026-118513

Priorisation DFS : P3 · 1 source(s).