CVE-2026-123339

Niewłaściwe zaufanie przekazywanych nagłówków w RouterListener::onKernelFinishRequest() w wersjach Symfony HttpKernel wcześniejszych niż 5.4.56, 6.x wcześniejszych niż 6.4.50, 7.x wcześniejszych niż 7.4.23 i 8.x wcześniejszych niż 8.1.11 umożliwia zdalnemu atakującemu kontrolowanie hosta, schematu i portu bezwzględnych adresów URL generowanych przez resztę żądanie, zatruwanie łączy na stronach przechowywanych we współdzielonej pamięci podręcznej oraz w wiadomościach e-mail wysyłanych po wyrenderowaniu strony. Kiedy strona renderuje fragment wbudowany (render() w Twig lub tag ESI renderowany w linii), SubRequestHandler tymczasowo dodaje 127.0.0.1 do zaufanych serwerów proxy, a RouterListener odbudowuje kontekst routera z głównego żądania, gdy zaufanie jest nadal aktywne, więc nagłówki X-Forwarded-* i Forwarded żądania których adres klienta to 127.0.0.1, są zaufane, nawet jeśli adres ten nie jest skonfigurowanym zaufanym serwerem proxy. Od tego momentu każdy bezwzględny adres URL wygenerowany przez router dla pozostałej części głównego żądania pobiera hosta, schemat i port z nagłówków wysłanych przez klienta, w tym adresy URL utworzone przez url() w Twig i przez UrlGeneratorInterface::ABSOLUTE_URL.

Na aplikacje wpływa to, gdy są one osiągane za pośrednictwem protokołu HTTP z adresu 127.0.0.1, na przykład za terminatorem TLS, odwrotnym serwerem proxy, lokalną pamięcią podręczną HTTP lub serwerem proxy sidecar na tym samym hoście, a ten serwer proxy przekazuje dalej nagłówki klienta. Przy konfiguracji domyślnej (framework.trusted_proxies nieustawiony) wszystkie przekazywane nagłówki, w tym X-Forwarded-Host, są w tym oknie zaufane. Nie ma to wpływu na aplikacje obsługiwane przez php-fpm, mod_php lub proxy na innym hoście. Po skonfigurowaniu framework.trusted_hosts przesłany host spoza listy jest odrzucany, ale schemat i port nadal można zmienić.