CVE-2026-48761
Publiée le 2026-07-14 · Dernière modification le 2026-07-21
Les applications web conçues avec des versions affectées du framework PHP Symfony sont vulnérables aux failles de cross-site scripting (XSS). Un attaquant distant non authentifié peut injecter du JavaScript malveillant dans une page en contournant le mécanisme de nettoyage des URL, bien que cela nécessite qu'une victime visite un lien ou une page spécialement conçus. Une fois exécuté, le script s'exécute dans le navigateur de la victime, permettant potentiellement à l'attaquant de voler des cookies de session ou d'effectuer des actions au nom de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0 until 6.4.41, 7.4.13, and 8.0.13, UrlAttributeSanitizer::getSupportedAttributes() omitted URL-bearing attributes on <object>, <applet>, <iframe>, and <img>, and <meta http-equiv="refresh"> URLs inside content bypassed URL sanitization, allowing explicitly enabled elements or attributes to pass javascript: and similar payloads into sanitized output. This issue is fixed in versions 6.4.41, 7.4.13, and 8.0.13.