Une différence d’interprétation entre CompiledUrlMatcher et UrlMatcher peut laisser un paramètre d’hôte consommer une partie du chemin et faire atteindre un contrôleur sans appliquer une règle de sécurité fondée sur le chemin réel. Le défaut concerne les applications combinant des routes avec paramètres d’hôte et des protections par chemin.
Source : NVD — CVE-2026-118516
Analyse technique
Le matcher compilé traite ensemble l’hôte et le chemin, contrairement au matcher non compilé. Selon la configuration des routes et de l’hôte, le contrôleur peut être exécuté alors que les protections évaluées sur le chemin de la requête ne s’appliquent pas.
Impact, versions et correctif
Détection / vérification
Examiner les routes avec paramètres d’hôte et les protections reposant sur des règles de chemin, notamment access_control et les motifs de pare-feu.
Action recommandée
Mettre à niveau Symfony vers la version corrigée de la branche utilisée ; réexaminer les règles de confiance des hôtes et les protections des routes concernées.
Sources
Priorisation DFS : P4 · 1 source(s).