CVE-2026-45075
CVE-2026-45075 · Symfony: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 7.4.12 and 8.0.12, method-scoped #[IsGranted], #[IsSignatureValid], and #[IsCsrfTokenValid] attributes can be configured for GET only, but Symfony routes HEAD requests to the GET handler while the attribute check is skipped, allowing protected controllers to execute and leak headers or perform side effects. This issue is fixed in versions 7.4.12 and 8.0.12.
CVSS 8.3 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · php
Betroffene Produkte und Versionen
symfony
- Softwareversionen
- >= 7.4.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
http-kernel
- Softwareversionen
- >= 7.4.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
security-http
- Softwareversionen
- >= 7.4.0-BETA1, < 7.4.12: Betroffen
- >= 8.0.0-BETA1, < 8.0.12: Betroffen
Keine Korrektur veröffentlicht
symfony Debian:14
- Softwareversionen
- 6.4.21+dfsg-2
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 7.0.4+dfsg-1
- 7.0.5+dfsg-1
- 7.0.6+dfsg-1
- 7.0.7+dfsg-1
- 7.1.0~beta1+dfsg-1
- 7.1.0~rc1+dfsg-1
- 7.1.2+dfsg-1
- 7.1.3+dfsg-1
- 7.1.4+dfsg-1
- 7.1.5+dfsg-1
- 7.2.0~beta1+dfsg-1
- 7.2.0~beta2+dfsg-1
- 7.2.0~rc1+dfsg-1
- 7.2.1+dfsg-1
- 7.2.2+dfsg-1
- 7.2.3+dfsg-1
- 7.2.4+dfsg-1
- 7.2.5+dfsg-1
- 7.2.6-1
- 7.3.0+dfsg-1
- 7.3.0~beta1+dfsg-1
- 7.3.0~beta2+dfsg-1
- 7.3.0~rc1+dfsg-1
- 7.3.1+dfsg-1
- 7.3.2+dfsg-1
- 7.3.3+dfsg-1
- 7.3.4+dfsg-1
- 7.3.5-1
- 7.4.0+dfsg-1
- 7.4.0+dfsg-2
- 7.4.0~beta1-1
- 7.4.0~beta1-2
- 7.4.0~beta2+dfsg-1
- 7.4.0~beta2+dfsg-2
- 7.4.0~beta2+dfsg-3
- 7.4.0~rc1+dfsg-1
- 7.4.0~rc2+dfsg-1
- 7.4.0~rc3+dfsg-1
- 7.4.10+dfsg-1
- 7.4.2+dfsg-1
- 7.4.2+dfsg-2
- 7.4.3+dfsg-1
- 7.4.4+dfsg-1
- 7.4.5+dfsg-1
- 7.4.6+dfsg-1
- 7.4.6+dfsg-2
- 7.4.7+dfsg-1
- 7.4.8+dfsg-1
- 7.4.9+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 7.4.12+dfsg-1
Auf 7.4.12+dfsg-1 aktualisieren
symfony/http-kernel Packagist
- Softwareversionen
- v7.4.0
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/http-kernel Packagist
- Softwareversionen
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony/security-http Packagist
- Softwareversionen
- v7.4.0
- v7.4.1
- v7.4.11
- v7.4.3
- v7.4.4
- v7.4.6
- v7.4.8
- v7.4.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/security-http Packagist
- Softwareversionen
- v8.0.0
- v8.0.1
- v8.0.11
- v8.0.3
- v8.0.4
- v8.0.6
- v8.0.8
- v8.0.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony/symfony Packagist
- Softwareversionen
- v7.4.0
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- v7.4.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Auf 7.4.12 aktualisieren
symfony/symfony Packagist
- Softwareversionen
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- v8.0.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Auf 8.0.12 aktualisieren
symfony Ubuntu:16.04:LTS
- Softwareversionen
- 2.7.1+dfsg-1
- 2.7.5+dfsg-1
- 2.7.9+dfsg-1
- 2.7.9+dfsg-1ubuntu2
- 2.7.10-0ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:18.04:LTS
- Softwareversionen
- 2.8.7+dfsg-1.3ubuntu1
- 3.4.3+dfsg-1ubuntu4
- 3.4.6+dfsg-1
- 3.4.6+dfsg-1ubuntu0.1
- 3.4.6+dfsg-1ubuntu0.1+esm1
- 3.4.6+dfsg-1ubuntu0.1+esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:20.04:LTS
- Softwareversionen
- 4.3.4+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1+esm1
- 4.3.8+dfsg-1ubuntu1+esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:22.04:LTS
- Softwareversionen
- 5.2.6+dfsg-1ubuntu7
- 5.4.4+dfsg-1ubuntu8
- 5.4.4+dfsg-1ubuntu8+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:Pro:24.04:LTS
- Softwareversionen
- 5.4.23+dfsg-1ubuntu1
- 5.4.35+dfsg-3ubuntu1
- 6.4.5+dfsg-3ubuntu2
- 6.4.5+dfsg-3ubuntu3
- 6.4.5+dfsg-3ubuntu3+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:25.10
- Softwareversionen
- 6.4.18+dfsg-1ubuntu1
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2ubuntu1
- 6.4.24+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:26.10
- Softwareversionen
- 7.4.7+dfsg-1ubuntu1
- 7.4.9+dfsg-1ubuntu1
- 7.4.13+dfsg-2ubuntu1
- 7.4.14+dfsg-1ubuntu2
- 7.4.15+dfsg-2ubuntu2
- 7.4.16+dfsg-1ubuntu2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
symfony Ubuntu:26.04:LTS
- Softwareversionen
- 6.4.24+dfsg-1
- 7.4.5+dfsg-1ubuntu1
- 7.4.6+dfsg-2ubuntu1
- 7.4.7+dfsg-1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht