CVE-2026-118516

Komponenty Symfony Routing CompiledUrlMatcher i UrlMatcher odmiennie interpretują informacje o hoście i ścieżce, umożliwiając ominięcie reguł autoryzacji opartych na ścieżce w wersjach Symfony wcześniejszych niż 5.4.56, 6.x przed 6.4.50, 7.x przed 7.4.23 i 8.x przed 8.1.11.




W przypadku tras definiujących hosta CompiledUrlMatcher dopasowuje ciąg znaków $host.'.'.$pathinfo do wyrażenia regularnego hosta, po którym następuje wyrażenie regularne ścieżki, natomiast UrlMatcher dopasowuje host i ścieżkę oddzielnie. Symbol zastępczy hosta może zatem dopasować / i zająć początek ścieżki, więc żądanie jest kierowane do kontrolera, podczas gdy UrlMatcher  nie znajdzie żadnej trasy. Reguły sprawdzające ścieżkę, takie jak wpisy kontroli dostępu i wzorce zapory sieciowej, są oceniane na podstawie rzeczywistej ścieżki żądania, więc nie mają zastosowania, gdy działa kontroler trasy, co potencjalnie pozwala nieuwierzytelnionemu żądaniu dotrzeć do chronionego kontrolera. Na przykład w przypadku trasy /admin/report/{id}, aplikacji hosta.{domain} i reguły kontrola dostępu: [{ ścieżka: ^/admin, role: ROLE_ADMIN }] anonimowe żądanie dotyczące /admin/report/1 jest wysyłane na stronę logowania. Zamiast tego żądanie zawierające aplikację nagłówka hosta i ścieżkę /x./admin/report/1 dociera do kontrolera z wartością domena="/x". W przypadku wymaganej domeny: .+ działa prawdziwa nazwa hosta: app.example.com i /x./admin/report/1 pasuje do domeny="example.com./x".




Ma to wpływ na aplikacje, jeśli mają trasy z obiektami zastępczymi hosta chronione regułami opartymi na ścieżkach. W przypadku wymagań domyślnych nagłówek Host musi być hostem trasy bez jej ostatnich etykiet, np. app: framework.trusted_hosts blokuje to, podczas gdy serwer internetowy obsługujący tylko znane nazwy nie może na przykład Nginx przekazywać surowego nagłówka Host do FastCGI dla wiersza żądania zawierającego bezwzględny identyfikator URI. Jeśli wymaganie akceptuje /, np. .+, działa prawdziwa nazwa hosta, a zaufane_hosty nie pomogą.