CVE-2026-123125

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões anteriores a 6.4.50 Symfony versões anteriores a 7.4.23 Symfony versões anteriores a 8.1.11

Description O IpValidator no componente Symfony Validator classifica incorretamente certos endereços internos como públicos ao usar modos filtrados da restrição Ip. Isso ocorre porque o validador depende das flags PHP FILTER FLAG NO PRIV RANGE e FILTER FLAG NO RES RANGE, que não abrangem o espaço de endereçamento compartilhado (100.64.0.0/10) e formatos específicos de IPv6, como endereços IPv4-mapped, IPv4-compatible e 6to4. Consequentemente, um endereço interno como ::ffff:127.0.0.1 pode passar na validação. Essa falha pode levar ao Server-Side Request Forgery (SSRF), uma condição em que um invasor induz o servidor a fazer requisições a um recurso interno.

Recommendations Atualize para a versão 5.4.56 ou posterior. Atualize para a versão 6.4.50 ou posterior. Atualize para a versão 7.4.23 ou posterior. Atualize para a versão 8.1.11 ou posterior.