CVE-2026-123339

Nome do Software Vulnerável e Versões Afetadas Symfony HttpKernel versões anteriores a 5.4.56 Symfony HttpKernel versões anteriores a 6.4.50 Symfony HttpKernel versões anteriores a 7.4.23 Symfony HttpKernel versões anteriores a 8.1.11

Description A confiança inadequada em cabeçalhos encaminhados na função onKernelFinishRequest() do RouterListener permite que um invasor remoto controle o host, o esquema e a porta de URLs absolutas geradas para o restante da requisição. Isso ocorre quando uma página renderiza um fragmento inline via render() no Twig ou uma tag ESI inline; o SubRequestHandler adiciona temporariamente 127.0.0.1 aos proxies confiáveis, fazendo com que o RouterListener confie nos cabeçalhos X-Forwarded-* e Forwarded de requisições com endereço de cliente 127.0.0.1, mesmo que não estejam configurados. Consequentemente, URLs absolutas produzidas por url() no Twig e UrlGeneratorInterface::ABSOLUTE URL podem ser manipuladas, potencialmente envenenando links em caches compartilhados ou e-mails. Este problema afeta aplicações acessadas via HTTP a partir de 127.0.0.1, como aquelas atrás de um terminador TLS, proxy reverso, cache HTTP local ou proxy sidecar no mesmo host que encaminha cabeçalhos do cliente. Se framework.trusted hosts estiver configurado, hosts fora da lista são rejeitados, mas o esquema e a porta ainda podem ser alterados.

Recommendations Atualize o Symfony HttpKernel para a versão 5.4.56 ou posterior. Atualize o Symfony HttpKernel para a versão 6.4.50 ou posterior. Atualize o Symfony HttpKernel para a versão 7.4.23 ou posterior. Atualize o Symfony HttpKernel para a versão 8.1.11 ou posterior.