PT-2026-47211
CVE-2026-48736
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Symfony السابقة للإصدار 5.4.31
إصدارات Symfony السابقة للإصدار 6.4.11
الوصف
SymfonyComponentHttpClientNoPrivateNetworkHttpClient هو زخرفة (ديكوريتور) مصممة لحظر الطلبات الموجهة إلى الشبكات الخاصة. ومع ذلك، فإن قائمة الشبكات الفرعية المحظورة تغفل العديد من أشكال الانتقال إلى IPv6 التي يمكن أن تتضمن وجهات IPv4 خاصة، بما في ذلك 6to4 وTeredo وNAT64 وIPv6 المتوافق مع IPv4. ونظرًا لأن الدالة IpUtils::checkIp6() تُجري مقارنة CIDR بتيةً دون استخراج عنوان IPv4 المضمن، يمكن للمهاجم الذي يقدم عنوان URL مُصمم خصيصًا تجاوز الحدود الأمنية. وهذا يسمح لـ NoPrivateNetworkHttpClient بإرسال الطلبات إلى أهداف داخلية، مثل عناوين loopback أو عناوين IPv4 وفقًا لمعيار RFC1918، باستخدام تمثيلات IPv6.التوصيات
التحديث إلى الإصدار 5.4.31 أو أحدث.
التحديث إلى الإصدار 6.4.11 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾