Le sanitiseur de meta refresh peut laisser passer certaines formes de directive de redirection et ne pas appliquer le contrôle prévu sur l’URL. Une redirection vers un site non fiable peut alors contourner les restrictions de schéma ou d’hôte configurées pour les liens.
Source : NVD — CVE-2026-121373
Analyse technique
L’expression de reconnaissance des directives meta refresh ne couvrait pas tous les séparateurs et formes admis par les navigateurs. Les directives non reconnues étaient renvoyées sans passer par UrlSanitizer.
Impact, versions et correctif
Détection / vérification
Vérifier l’utilisation de HtmlSanitizer avec des balises meta autorisant http-equiv et content, notamment le préréglage allowStaticElements().
Action recommandée
Mettre à niveau Symfony HtmlSanitizer vers une version corrigée de la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).