PT-2026-138037
CVE-2026-118514
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
symfony/http-foundation الإصدارات من 5.4.0 إلى 5.4.55
symfony/http-foundation الإصدارات من 6.0.0 إلى 6.4.49
symfony/http-foundation الإصدارات من 7.0.0 إلى 7.4.22
symfony/http-foundation الإصدارات من 8.0.0 إلى 8.1.10
Description
يقوم كل من
SymfonyComponentHttpFoundationRequestMatcher و RequestMatcherMethodRequestMatcher (المستخدم بدءًا من الإصدار 6.2.x) بإجراء مقارنات حرفية عند مطابقة الطلب مع قائمة من طرق HTTP. وبما أن دلالات HTTP تتطلب من الموجه خدمة طلب HEAD باستخدام معالج GET، يمكن تجاوز قواعد الأمان المقتصرة على طلبات GET عن طريق إرسال طلب HEAD إلى نفس عنوان URL. يتيح ذلك للمهاجمين تشغيل تنفيذ المتحكم وآثاره الجانبية، بالإضافة إلى الوصول إلى ترويسات الاستجابة. يؤثر هذا الأمر أيضًا على جدران الحماية المهيأة باستخدام methods: [GET]، حيث قد يتجاوز طلب HEAD جدار الحماية المقصود ويتم التعامل معه بواسطة جدار حماية آخر أو بدون جدار حماية على الإطلاق. كما تتأثر التطبيقات التي تستخدم أدوات مطابقة الطلبات هذه مباشرة أو من خلال request matcher مخصص.Recommendations
تحديث symfony/http-foundation إلى الإصدار 5.4.56 أو أحدث.
تحديث symfony/http-foundation إلى الإصدار 6.4.50 أو أحدث.
تحديث symfony/http-foundation إلى الإصدار 7.4.23 أو أحدث.
تحديث symfony/http-foundation إلى الإصدار 8.1.11 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾