CVE-2026-118517

Nome do Software Vulnerável e Versões Afetadas Symfony versões 6.1.x até 6.4.49 Symfony versões 7.x até 7.4.22 Symfony versões 8.x até 8.1.10

Description O componente UrlSanitizer do Symfony HtmlSanitizer analisa URLs usando o padrão RFC 3986 via league/uri, que difere do padrão WHATWG URL usado pelos navegadores. Essa discrepância permite que as verificações allowLinkHosts() e allowMediaHosts() sejam ignoradas quando as URLs não possuem uma autoridade bem formada (ex: http:evil.example, ///evil.example ou https://://evil.example/). Nesses casos, o sanitizador não identifica um host, enquanto os navegadores os resolvem para o host pretendido, resultando na inclusão de hosts não confiáveis na saída sanitizada. Este problema é explorável quando uma lista de permissão de hosts é combinada com allowRelativeLinks(true) ou allowRelativeMedias(true).

Recommendations Atualizar as versões 6.1.x do Symfony para 6.4.50. Atualizar as versões 7.x do Symfony para 7.4.23. Atualizar as versões 8.x do Symfony para 8.1.11.