PT-2026-43392 · Symfony · Polyfill-Intl-Idn

CVE-2026-46644 · Publicado 2026-05-26 · Atualizado 2026-07-14

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas symfony/polyfill-intl-idn versões anteriores a 1.x

Description A função Idn::process() não aplica o critério de validade definido na UTS #46 revisão 33 Seção 4 etapa 4.1.2. Especificamente, ela não verifica se um rótulo prefixado com xn-- contém pelo menos um ponto de código não-ASCII após a decodificação Punycode. Isso resulta na aceitação de rótulos com payloads Punycode vazios ou aqueles que são decodificados apenas para caracteres ASCII, os quais são normalmente rejeitados pela extensão nativa ext-intl do PHP com um erro IDNA ERROR INVALID ACE LABEL. Esta inconsistência na canonicalização e comparação de nomes de host pode levar a server-side request forgery, parsing de URL inconsistente e a evasão de listas negras.

Recommendations Atualize para a versão corrigida do branch 1.x. Como medida paliativa temporária, restrinja o uso da função Idn::process() para validar ou comparar nomes de host até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-1289

Identificadores relacionados

CVE-2026-46644

GHSA-2XF4-CG6J-VHGQ

Produtos afetados

Polyfill-Intl-Idn

Referências · 23

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/46xxx/CVE-2026-46644.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/polyfill-intl-idn/CVE-2026-46644.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/polyfill/CVE-2026-46644.yaml · Exploit
• https://github.com/symfony/polyfill/releases/tag/v1.38.1 · Nota
• https://github.com/symfony/polyfill/security/advisories/GHSA-2xf4-cg6j-vhgq · Nota
• https://github.com/symfony/polyfill/commit/1be936e2491ccebe152bd736dfc91eb1422c8bec · Nota
• https://github.com/symfony/polyfill · Nota
• https://reddit.com/r/VulnMatter/comments/1tr3s9r/resumen_diario_de_vulnerabilidades_29052026 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1tqerun/resumen_diario_de_vulnerabilidades_28052026 · Publicação no Reddit
• https://symfony.com/blog/cve-2026-46644-insecure-equivalence-in-symfony-polyfill-intl-idn-for-ascii-only-xn-labels · Nota
• https://reddit.com/r/VulnMatter/comments/1tqmcvv/resumen_diario_de_vulnerabilidades_29052026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-46644 · Nota de Segurança
• https://twitter.com/symfony/status/2059305055426146684 · Publicação no Twitter
• https://symfony.com/cve-2026-46644 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-46644 · Aviso do Fabricante