CVE-2026-121949

Komponent Symfony HtmlSanitizer nie stosuje zasad adresu URL multimediów do atrybutów srcset i imagesrcset, pozwalając wartościom wskazującym hosty lub schematy niedozwolone przez allowMediaSchemes() lub allowMediaHosts() ominąć je, dzięki czemu przeglądarki ładują obrazy z niedozwolonych hostów w Symfony w wersjach 6.1.x wcześniejszych niż 6.4.50, 7.x wcześniejszych 7.4.23 i 8.x starsze niż 8.1.11. Atrybut srcset w elementach img i source oraz atrybut imagesrcset w elementach link są dozwolone przez moduł sanityzujący, ale ich kandydaci na adresy URL nigdy nie są sprawdzani, więc ich wartości są zachowywane dosłownie, podczas gdy ten sam adres URL w src jest usuwany. Poprawki CVE-2026-45753 i CVE-2026-48761 rozszerzyły tę samą listę atrybutów, ale nie objęły tych dwóch atrybutów. Na przykład w przypadku allowMediaSchemes(['https']) i zezwolenieMediaHosts(['trusted.example']) <img srcset="https://evil.example/a.png 1x"> przetrwa oczyszczanie, a przeglądarka pobierze wybranego kandydata w taki sam sposób, w jaki pobierałaby src. Kandydaci ze schematem zabronionym w konfiguracji, np. http, również są zachowywani.
Ma to wpływ na każdą aplikację, która oczyszcza niezaufany kod HTML i opiera się na schematach multimediów i listach dozwolonych hostów w celu ograniczenia miejsca, z którego można ładować obrazy. Wystarczy pojedyncza spreparowana wartość, aby przeglądarka użytkownika przeglądającego wyczyszczoną treść wysłała żądanie do hosta kontrolowanego przez osobę atakującą, którego można użyć do śledzenia przeglądających lub rejestrowania ich adresów IP. Uwierzytelnianie nie jest potrzebne, jeśli aplikacja akceptuje kod HTML od nieuwierzytelnionych użytkowników.