CVE-2026-121373 in Symfony
Riassunto
di VulDB • 04/11/2026
Il componente HtmlSanitizer di Symfony, in particolare la classe MetaRefreshAttributeSanitizer introdotta per risolvere CVE-2026-48761, sanitizza l'URL del refresh degli attributi content dei tag meta utilizzando una espressione regolare troppo restrittiva. Ciò consente di eludere il processo di sanitizzazione e comporta un potenziale reindirizzamento dell'URL verso siti non attendibili nelle versioni di Symfony 6.1.x precedenti alla 6.4.50, 7.x precedenti alla 7.4.23 e 8.x precedenti all'8.1.11.
I passaggi dichiarativi condivisi per il refresh nello standard HTML WHATWG richiedono un approccio più ampio: il separatore dopo l'intervallo di tempo può essere costituito esclusivamente da spazi bianchi ASCII, senza i caratteri `;` o `,`, e la parola chiave `url=` è opzionale. Le direttive rispettate dal browser ma non catturate dall'espressione regolare vengono restituite invariate; pertanto, l'URL dell'attaccante elude completamente UrlSanitizer, vanificando sia allowLinkSchemes che allowLinkHosts per la navigazione di refresh.
Questa vulnerabilità è sfruttabile con qualsiasi configurazione che consenta i tag meta con gli attributi http-equiv e content, inclusa la preset documentata allowStaticElements().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.