Veille sécuritéBackend & données
P4Faible
HtmlSanitizer ne validait pas les URL présentes dans les attributs srcset et imagesrcset selon la politique appliquée aux médias. Un navigateur pouvait donc charger des ressources depuis des hôtes ou schémas interdits ; mettre à niveau Symfony, en particulier si l’application assainit du HTML non fiable avec ces listes d’autorisation.
Symfony
IdentifiantCVE-2026-121949
GravitéFaible
Exploitationnon connue / non déterminée
Correctif6.4.50, 7.4.23, 8.1.11
Source : NVD — CVE-2026-121949
Analyse technique
Les URL candidates de srcset sur img et source, ainsi que de imagesrcset sur link, étaient conservées sans validation par allowMediaSchemes() ou allowMediaHosts().
Impact, versions et correctif
Événement datéNouvelle publication NVD datée du 2026-11-05T18:17:07.480Z, dans la période demandée ; l’entrée NVD modifiée du même jour est un doublon du même CVE.
ImpactLe navigateur d’un utilisateur peut charger une ressource depuis un hôte non autorisé, ce qui peut notamment exposer son adresse IP ou permettre le suivi.
Versions affectéesSymfony 6.1.x avant 6.4.50, 7.x avant 7.4.23 et 8.x avant 8.1.11
Version corrigée6.4.50, 7.4.23, 8.1.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-11-05T18:17:07.480Z
Mise à jour2026-11-05T20:17:48.910Z
Action recommandée
Mettre à niveau vers une version corrigée et vérifier l’usage des attributs srcset et imagesrcset dans le HTML assaini.
Sources
Priorisation DFS : P4 · 1 source(s).