CVE-2026-121373
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Komponent Symfony HtmlSanitizer MetaRefreshAttributeSanitizer, wprowadzony w celu poprawki CVE-2026-48761, czyści odświeżany adres URL atrybutów treści metatagów przy użyciu zbyt wąskiego wyrażenia regularnego, co pozwala na ominięcie oczyszczania i skutkuje potencjalnym przekierowaniem adresu URL do niezaufanych witryn w Symfony w wersjach 6.1.x wcześniejszych do 6.4.50, 7.x przed 7.4.23 i 8.x przed 8.1.11.
Wspólne deklaratywne etapy odświeżania w standardzie WHATWG HTML wymagają szerszego podejścia: separatorem po czasie mogą być same białe znaki ASCII, bez „nie”; lub , a słowo kluczowe url= jest opcjonalne. Dyrektywy honorowane są przez przeglądarkę, ale brakujące wyrażenia regularne są zwracane bez zmian, więc adres URL osoby atakującej całkowicie pomija UrlSanitizer, a zarówno obiektyallowLinkSchemes, jak iallowLinkHosts są pomijane podczas nawigacji odświeżającej.
Można to osiągnąć w dowolnej konfiguracji, która pozwala na meta z odpowiednikiem protokołu http i treścią, w tym z udokumentowanym ustawieniem wstępnymallowStaticElements().
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org