PT-2026-47216 · Symfony · Symfony

CVE-2026-48761 · Publicado 2026-05-27 · Atualizado 2026-07-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 6.4 Symfony versões anteriores a 7.4 Symfony versões anteriores a 8.0 Symfony versões anteriores a 8.1

Description Existe um problema na função SymfonyComponentHtmlSanitizerVisitorAttributeSanitizerUrlAttributeSanitizer::getSupportedAttributes(), que não inclui vários atributos de URL em sua lista de sanitização. Quando integradores permitem explicitamente elementos como <object>, <applet>, <iframe> ou <img> juntamente com atributos como data, codebase, archive ou longdesc, o processo UrlSanitizer::sanitize() é ignorado. Isso permite que payloads como javascript:alert(1) permaneçam inalterados na saída, resultando em Cross-Site Scripting (XSS) armazenado. Além disso, o atributo content do elemento <meta> não passa por sanitização de URL quando usado para navegação de atualização (ex: <meta http-equiv="refresh" content="0; url=…">), permitindo a navegação para URLs javascript:.

Recommendations Atualize para a versão 6.4 ou posterior. Atualize para a versão 7.4 ou posterior. Atualize para a versão 8.0 ou posterior. Atualize para a versão 8.1 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-1023

CWE-79

Identificadores relacionados

CVE-2026-48761

GHSA-X5QJ-865H-MGVM

Produtos afetados

Symfony

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/48xxx/CVE-2026-48761.json · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/symfony/CVE-2026-48761.yaml · Exploit
• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/symfony/html-sanitizer/CVE-2026-48761.yaml · Exploit
• https://github.com/symfony/symfony/releases/tag/v7.4.13 · Nota
• https://github.com/symfony/symfony/security/advisories/GHSA-x5qj-865h-mgvm · Correção, Aviso do Fabricante
• https://github.com/symfony/symfony/commit/069a70f9f26e61e9de3b7f9a864a86ed24b36bd0 · Correção
• https://github.com/symfony/symfony/releases/tag/v6.4.41 · Nota
• https://github.com/symfony/symfony/releases/tag/v8.0.13 · Nota
• https://github.com/symfony/symfony · Nota
• https://symfony.com/blog/cve-2026-48761-htmlsanitizer-misses-url-attributes-on-object-applet-iframe-img-and-meta-refresh · Nota
• https://symfony.com/cve-2026-48761 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-48761 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-48761 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x5qj-865h-mgvm · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-48761 · Aviso do Fabricante