PT-2026-44134 · Symfony · Symfony

CVE-2026-45065 · Publicado 2026-05-21 · Atualizado 2026-07-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.25

Descrição A classe UrlGenerator, utilizada pelos auxiliares path() e url() do Twig, não ancora corretamente as expressões regulares ao validar parâmetros de caminho que utilizam alternâncias. O padrão de validação é construído como '#^'.$req.'$#', o que faz com que as âncoras ^ e $ sejam aplicadas apenas à primeira e à última alternativa. Isso permite que valores contendo qualquer uma das alternativas intermediárias sejam aceitos como válidos. Por exemplo, um valor como /evil.com poderia satisfazer um requisito contendo vi, resultando na geração de uma URL relativa ao protocolo que redireciona o navegador para um site externo.

Recomendações Atualize para a versão 5.4.25 ou posterior.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-185

CWE-601

Identificadores relacionados

CVE-2026-45065

GHSA-72XP-P242-47P9

Produtos afetados

Symfony

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/45xxx/CVE-2026-45065.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/routing/CVE-2026-45065.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-45065.yaml · Exploit
• https://github.com/symfony/symfony/releases/tag/v7.4.12 · Nota
• https://github.com/symfony/symfony/releases/tag/v5.4.52 · Nota
• https://github.com/symfony/symfony/releases/tag/v8.0.12 · Nota
• https://github.com/symfony/symfony/releases/tag/v6.4.40 · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-72xp-p242-47p9 · Aviso do Fabricante
• https://github.com/symfony/symfony · Nota
• https://github.com/symfony/symfony/commit/bcf487c22f3240ba994124e0e0fe8616f3cfc47a · Nota
• https://osv.dev/vulnerability/CVE-2026-45065 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-45065 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-45065 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-45065 · Aviso do Fabricante
• https://symfony.com/blog/cve-2026-45065-urlgenerator-route-requirement-bypass-via-unanchored-regex-alternation-off-site-host-url-injection · Nota