CVE-2026-121373

Nome do Software Vulnerável e Versões Afetadas Symfony versões 6.1.x até 6.4.49 Symfony versões 7.x até 7.4.22 Symfony versões 8.x até 8.1.10

Description O MetaRefreshAttributeSanitizer no componente Symfony HtmlSanitizer utiliza uma expressão regular excessivamente restrita para sanitizar a URL de atualização dos atributos content em tags meta. Isso permite que o processo de sanitização seja ignorado, resultando em um redirecionamento potencial de URL para sites não confiáveis. O problema ocorre porque a expressão regular não considera o Padrão HTML WHATWG, onde o separador após o tempo pode ser apenas um espaço em branco ASCII, sem ponto e vírgula ou vírgula, e a palavra-chave url= é opcional. Consequentemente, certas diretivas reconhecidas pelos navegadores são retornadas inalteradas, ignorando o UrlSanitizer e anulando as restrições allowLinkSchemes e allowLinkHosts. Isso é acessível em configurações que permitem tags meta com http-equiv e content, como o preset allowStaticElements().

Recommendations Atualize para a versão 6.4.50 ou posterior para o ramo 6.1.x. Atualize para a versão 7.4.23 ou posterior para o ramo 7.x. Atualize para a versão 8.1.11 ou posterior para o ramo 8.x.