CVE-2026-45070

Nome do Software Vulnerável e Versões Afetadas Symfony (versões afetadas não especificadas)

Descrição A classe ParameterizedHeader (e o tratamento de parâmetros relacionado em Headers) não valida os nomes dos parâmetros ao serializar cabeçalhos estruturados, como Content-Type e Content-Disposition. Embora os valores dos parâmetros sejam codificados, os nomes são emitidos literalmente. Se uma aplicação permitir que entradas não confiáveis influenciem o nome de um parâmetro, um invasor pode injetar r (CRLF) ou outros bytes que não sejam tokens. Isso permite a terminação do cabeçalho atual e a injeção de cabeçalhos adicionais na mensagem renderizada, uma técnica conhecida como injeção de cabeçalho.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.