CVE-2026-48784

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.48 Symfony versões anteriores a 6.4.15 Symfony versões anteriores a 7.4.0 Symfony versões anteriores a 8.0.0 Symfony versões anteriores a 8.1.0

Description A função doGenerate() em SymfonyComponentRoutingGeneratorUrlGenerator codifica incorretamente segmentos de ponto (dot-segments) usando percent-encoding. Ao utilizar strtr para codificar /../ e /./, a função avança além da barra final de cada correspondência, deixando segmentos de ponto subsequentes em uma sequência encadeada sem a devida codificação. Se uma rota utiliza um requisito permissivo (como .+ ou .*) para um parâmetro, segmentos .. ou . encadeados controlados por um invasor podem resultar em uma URL gerada que se reduz a um caminho diferente durante a normalização estrita da RFC 3986. Isso afeta os auxiliares path() e url() do Twig, bem como qualquer uso do UrlGenerator no lado do servidor.

Recommendations Atualize para a versão 5.4.48 ou superior. Atualize para a versão 6.4.15 ou superior. Atualize para a versão 7.4.0 ou superior. Atualize para a versão 8.0.0 ou superior. Atualize para a versão 8.1.0 ou superior.