Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-48760 medium CVSS 6.1

Vulnérabilité dans symfony/html-sanitizer (CVE-2026-48760)

Résumé

Vulnérabilité dans symfony/html-sanitizer (CVE-2026-48760). Risque d'opérations non autorisées ou de divulgation. Exploitable via href. Atténuation : mise à jour vers 8.0.13 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Description

Symfony\Component\HtmlSanitizer\TextSanitizer\UrlSanitizer::parse() rejects URLs containing raw Unicode explicit-direction BiDi formatting characters (U+202A–U+202E, U+2066–U+2069) as a defense against visual-spoofing of the rendered href. The check covers only the raw UTF-8 forms of those code points: the percent-encoded forms (%E2%80%AE for U+202E, %E2%81%A6 for U+2066, etc.) are not matched by the deny regex, survive league/uri's parse/build cycle, and are re-emitted unchanged in the sanitized URL. Any downstream consumer that decodes the link before display — phishing-detection filters that compare urldecode($href) against a domain allow-list, audit-log dashboards that show a decoded form for readability, hover-tooltip previews, federated/syndicated content where the decoder lives on the consuming side — restores the BiDi character and the visual spoof that the original defense was filed to prevent.

The same UrlSanitizer::parse() carries an ASCII-only /\s/ whitespace check (no /u modifier) intended as a backstop against malformed URLs. Without the /u modifier, PCRE's \s matches only ASCII whitespace, so Unicode whitespace characters — NBSP (U+00A0), the zero-width no-break space / BOM (U+FEFF), line/paragraph separators (U+2028, U+2029), ogham space (U+1680), the U+2000–U+200A en/em quad family, narrow / medium / ideographic spaces (U+202F, U+205F, U+3000) and NEL (U+0085) — pass through unchanged in both raw and percent-encoded for…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-48760 a été découverte dans symfony/html-sanitizer.
Des attaquants peuvent cibler un point d'entrée spécifique comme href à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.1/10.
Action : mettez à jour symfony/html-sanitizer vers 8.0.13 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « symfony/html-sanitizer CVE-2026-48760 » sur le site de l'éditeur.

CVE-2026-48760 (symfony/html-sanitizer) — CWE-451 / CVSS v3 6.1
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : href / user / pass / host
Correctif : 8.0.13 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-451) affecte symfony/html-sanitizer. Les attaquants atteignent le code vulnérable via href sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de symfony/html-sanitizer. Surface d'attaque : href / user / pass / host.

🔥 Gravité

Gravité : Moyenne (CVSS 6.1/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 8.0.13.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'symfony/html-sanitizer' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で symfony/html-sanitizer を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade symfony/html-sanitizer to 8.0.13

    ステージング環境で 8.0.13 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

composer symfony/html-sanitizer
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"8.0.13"}]}]
composer symfony/symfony
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"8.0.13"}]}]
Packagist symfony/html-sanitizer
[{"type":"ECOSYSTEM","events":[{"introduced":"8.0.0"},{"fixed":"8.0.13"}]}]
Packagist symfony/symfony
[{"type":"ECOSYSTEM","events":[{"introduced":"8.0.0"},{"fixed":"8.0.13"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus