CVE-2026-118517
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Komponent Symfony HtmlSanitizer UrlSanitizer analizuje adresy URL inaczej niż przeglądarki, umożliwiając ominięcie kontroli zezwolenieLinkHosts() i zezwolenieMediaHosts() w przypadku adresów URL bez prawidłowo sformułowanych uprawnień, co powoduje, że niezaufane hosty są odwoływane w oczyszczonych danych wyjściowych w Symfony w wersjach 6.1.x wcześniejszych niż 6.4.50 i 7.x wcześniejszych 7.4.23 i 8.x przed 8.1.11.
UrlSanitizer analizuje adresy URL za pomocą League/uri, zgodnie z RFC 3986, podczas gdy przeglądarki przestrzegają standardu URL WHATWG. W przypadku adresów URL bez poprawnie sformułowanych uprawnień, takich jak http:evil.example, ///evil.example lub https://evil.example/ program dezynfekujący nie znajduje hosta, podczas gdy przeglądarki rozpoznają je jako zły.przykład. Strażnik dodany dla CVE-2026-45066 nie miał formy z ukośnikiem zerowym, a host 0 również został pominięty, ponieważ PHP traktuje to jako fałszywe.
Można to wykorzystać, gdy lista dozwolonych hostów jest połączona z parametrami zezwolenieRelativeLinks(true) lub zezwolenieRelativeMedias(true). Nie ma to wpływu na domyślną konfigurację.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org