PT-2026-136950
CVE-2026-118516
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Symfony الإصدارات السابقة لـ 5.4.56
Symfony الإصدارات 6.x السابقة لـ 6.4.50
Symfony الإصدارات 7.x السابقة لـ 7.4.23
Symfony الإصدارات 8.x السابقة لـ 8.1.11
Description
في مكونات التوجيه (Routing) الخاصة بـ Symfony، يقوم كل من
CompiledUrlMatcher و UrlMatcher بتفسير معلومات المضيف (host) والمسار (path) بشكل مختلف. بالنسبة للمسارات التي تحدد مضيفًا، يقوم CompiledUrlMatcher بمطابقة السلسلة المدمجة من $host و . و $pathinfo مقابل التعبيرات النمطية للمضيف والمسار، بينما يقوم UrlMatcher بمعالجتهما بشكل منفصل. يسمح هذا التباين لمحدد المضيف بمطابقة رمز / واستهلاك بداية المسار، مما يؤدي إلى توجيه الطلب إلى متحكم (controller) لن يجده UrlMatcher. وبناءً على ذلك، فإن قواعد التفويض المستندة إلى المسار، مثل إدخالات access control وأنماط جدار الحماية، يتم تقييمها مقابل مسار الطلب الفعلي وقد لا يتم تطبيقها، مما قد يسمح للطلبات غير المصرح لها بالوصول إلى متحكمات محمية. تؤثر هذه المشكلة على التطبيقات التي تستخدم مسارات تحتوي على محددات مضيف محمية بقواعد مستندة إلى المسار.Recommendations
التحديث إلى الإصدار 5.4.56 أو أحدث.
التحديث إلى الإصدار 6.4.50 أو أحدث.
التحديث إلى الإصدار 7.4.23 أو أحدث.
التحديث إلى الإصدار 8.1.11 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾