CVE-2026-118514

Nome do Software Vulnerável e Versões Afetadas symfony/http-foundation versões 5.4.0 até 5.4.55 symfony/http-foundation versões 6.0.0 até 6.4.49 symfony/http-foundation versões 7.0.0 até 7.4.22 symfony/http-foundation versões 8.0.0 até 8.1.10

Description SymfonyComponentHttpFoundationRequestMatcher e RequestMatcherMethodRequestMatcher (utilizado a partir da versão 6.2.x) realizam comparações literais ao validar uma requisição contra uma lista de métodos HTTP. Como a semântica do HTTP exige que o roteador atenda a uma requisição HEAD usando o manipulador GET, regras de segurança restritas a requisições GET podem ser ignoradas ao enviar uma requisição HEAD para a mesma URL. Isso permite que atacantes acionem a execução do controlador e seus efeitos colaterais, além de acessar cabeçalhos de resposta. Este problema também afeta firewalls configurados com methods: [GET], pois uma requisição HEAD pode ignorar o firewall pretendido e ser processada por outro ou por nenhum. Aplicações que utilizam esses validadores de requisição diretamente ou via um request matcher personalizado também são afetadas.

Recommendations Atualizar symfony/http-foundation para a versão 5.4.56 ou posterior. Atualizar symfony/http-foundation para a versão 6.4.50 ou posterior. Atualizar symfony/http-foundation para a versão 7.4.23 ou posterior. Atualizar symfony/http-foundation para a versão 8.1.11 ou posterior.