CVE-2026-123119

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões 6.x anteriores a 6.4.50 Symfony versões 7.x anteriores a 7.4.23 Symfony versões 8.x anteriores a 8.1.11

Description O NoPrivateNetworkHttpClient no componente Symfony HttpClient não fixa o endereço IP verificado de hosts em cache. Isso permite o DNS rebinding, uma técnica onde um servidor DNS altera o endereço IP associado a um nome de domínio entre requisições, para ignorar restrições de rede privada. O componente resolve o host e verifica o IP antes de conectar, mas passa a opção resolve apenas na primeira consulta. Em requisições subsequentes, o cliente decorado resolve o host independentemente. Um invasor que controle o DNS pode fornecer um IP público para a primeira requisição e um IP privado para as seguintes, permitindo a enumeração de hosts e portas internas. Isso ocorre porque a conexão é estabelecida antes que a verificação de primary ip no callback on progress() aborte a requisição, e o erro resultante varia dependendo se a porta está aberta ou fechada.

Recommendations Atualizar para a versão 5.4.56 ou posterior. Atualizar para a versão 6.4.50 ou posterior. Atualizar para a versão 7.4.23 ou posterior. Atualizar para a versão 8.1.11 ou posterior.