CVE-2026-47767
Publiée le 2026-07-14 · Dernière modification le 2026-07-16
Les applications web basées sur des versions affectées du framework PHP Symfony sont vulnérables à un contournement de configuration. Un attaquant non authentifié peut envoyer une requête réseau spécialement conçue pour manipuler des indicateurs internes de l'application, permettant potentiellement d'activer le mode débogage ou de modifier le paramétrage de l'environnement. Cette action est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 5.4.46 until 5.4.52, 6.4.40, 7.4.12, and 8.0.12, the CVE-2024-50340 fix gated runtime argv parsing on empty($_GET), but parse_str() and the web SAPI can disagree, allowing a crafted query string to leave $_GET empty while $_SERVER['argv'] still carries attacker-controlled --env or --no-debug flags that change APP_ENV or APP_DEBUG. This issue is fixed in versions 5.4.52, 6.4.40, 7.4.12, and 8.0.12.