PT-2026-44133
CVE-2026-45064
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Symfony السابقة للإصدار 5.4.31
الوصف
تفشل الدالة
parse() الموجودة في Symfony ComponentHtmlSanitizerTextSanitizerUrlSanitizer (التي تستخدمها UrlSanitizer::sanitize() وأي تكوين لـ HtmlSanitizer يسمح بالروابط أو الوسائط) تفشل في تصفية أحرف تنسيق BiDi ذات الاتجاه الصريح في Unicode (U+202A–U+202E و U+2066–U+2069). يتم تمرير هذه الأحرف دون تغيير إلى سمات href وsrc. عند عرضها في المتصفح، يمكن لهذه الأحرف تغيير الترتيب المرئي لنص عنوان URL، مما يسمح للرابط المعروض بأن يختلف عن الوجهة الفعلية، وهو ما يتيح هجمات الانتحال البصري والتصيد الاحتيالي.التوصيات
قم بالتحديث إلى الإصدار 5.4.31 أو أحدث.
كحل مؤقت، قم بتقييد استخدام دالة
parse() أو إعدادات HtmlSanitizer التي تسمح بالروابط والوسائط حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾