CVE-2026-118514
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Symfony http-foundation przed wersjami 5.4.56, 6.4.50, 7.4.23 i 8.1.11 Symfony\Component\HttpFoundation\RequestMatcher i RequestMatcher\MethodRequestMatcher , które zastępują je od wersji 6.2.x i nowszych, dopasowują żądanie do listy metod HTTP. Porównali oni dosłownie metodę żądania z listą, podczas gdy router obsługuje żądanie HEAD za pomocą procedury obsługi GET, zgodnie z wymaganiami semantyki HTTP.
Nastąpiło to po niekompletnej poprawce CVE-2026-45075 https://github.com/advisories/GHSA-6439-2f28-8p8q, która naprawiła tę samą lukę tylko w atrybutach #[IsGranted], #[IsSignatureValid] i #[IsCsrfTokenValid].
Reguły bezpieczeństwa skonfigurowane tak, aby miały zastosowanie tylko do żądań GET, można zatem ominąć, wysyłając żądanie HEAD na ten sam adres URL. Chociaż odpowiedzi HEAD nie zawierają treści, osoby atakujące mogą nadal uzyskać dostęp do nagłówków odpowiedzi i wyzwolić wykonanie kontrolera, łącznie z wszelkimi efektami ubocznymi.
Ten problem dotyczy również zapór sieciowych skonfigurowanych przy użyciu metod: [GET]. Żądanie HEAD nie będzie pasować do tej zapory sieciowej i zamiast tego może zostać obsłużone przez inną pasującą zaporę ogniową lub w ogóle nie będzie obsługiwane przez zaporę ogniową. Może to również dotyczyć aplikacji korzystających bezpośrednio z tych wrażliwych programów dopasowujących żądania, w tym za pośrednictwem niestandardowej zapory ogniowej request_matcher.
Problem dotyczy symfony/http-foundation do wersji 5.4.55, od wersji 6.x do 6.4.49, od wersji 7.x do wersji 7.4.22 i od wersji 8.x do wersji 8.1.10.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org