CVE-2026-45075
CVE-2026-45075 · Symfony: HEAD Request Bypasses methods: ['GET'] Filter in #[IsGranted] / #[IsSignatureValid] / #[IsCsrfTokenValid]
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 7.4.12 and 8.0.12, method-scoped #[IsGranted], #[IsSignatureValid], and #[IsCsrfTokenValid] attributes can be configured for GET only, but Symfony routes HEAD requests to the GET handler while the attribute check is skipped, allowing protected controllers to execute and leak headers or perform side effects. This issue is fixed in versions 7.4.12 and 8.0.12.
CVSS 8.3 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
symfony
- Versiones
- >= 7.4.0-BETA1, < 7.4.12: Afectada
- >= 8.0.0-BETA1, < 8.0.12: Afectada
Sin corrección publicada
http-kernel
- Versiones
- >= 7.4.0-BETA1, < 7.4.12: Afectada
- >= 8.0.0-BETA1, < 8.0.12: Afectada
Sin corrección publicada
security-http
- Versiones
- >= 7.4.0-BETA1, < 7.4.12: Afectada
- >= 8.0.0-BETA1, < 8.0.12: Afectada
Sin corrección publicada
symfony Debian:14
- Versiones
- 6.4.21+dfsg-2
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 7.0.4+dfsg-1
- 7.0.5+dfsg-1
- 7.0.6+dfsg-1
- 7.0.7+dfsg-1
- 7.1.0~beta1+dfsg-1
- 7.1.0~rc1+dfsg-1
- 7.1.2+dfsg-1
- 7.1.3+dfsg-1
- 7.1.4+dfsg-1
- 7.1.5+dfsg-1
- 7.2.0~beta1+dfsg-1
- 7.2.0~beta2+dfsg-1
- 7.2.0~rc1+dfsg-1
- 7.2.1+dfsg-1
- 7.2.2+dfsg-1
- 7.2.3+dfsg-1
- 7.2.4+dfsg-1
- 7.2.5+dfsg-1
- 7.2.6-1
- 7.3.0+dfsg-1
- 7.3.0~beta1+dfsg-1
- 7.3.0~beta2+dfsg-1
- 7.3.0~rc1+dfsg-1
- 7.3.1+dfsg-1
- 7.3.2+dfsg-1
- 7.3.3+dfsg-1
- 7.3.4+dfsg-1
- 7.3.5-1
- 7.4.0+dfsg-1
- 7.4.0+dfsg-2
- 7.4.0~beta1-1
- 7.4.0~beta1-2
- 7.4.0~beta2+dfsg-1
- 7.4.0~beta2+dfsg-2
- 7.4.0~beta2+dfsg-3
- 7.4.0~rc1+dfsg-1
- 7.4.0~rc2+dfsg-1
- 7.4.0~rc3+dfsg-1
- 7.4.10+dfsg-1
- 7.4.2+dfsg-1
- 7.4.2+dfsg-2
- 7.4.3+dfsg-1
- 7.4.4+dfsg-1
- 7.4.5+dfsg-1
- 7.4.6+dfsg-1
- 7.4.6+dfsg-2
- 7.4.7+dfsg-1
- 7.4.8+dfsg-1
- 7.4.9+dfsg-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 7.4.12+dfsg-1
Actualiza a 7.4.12+dfsg-1
symfony/http-kernel Packagist
- Versiones
- v7.4.0
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Actualiza a 7.4.12
symfony/http-kernel Packagist
- Versiones
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Actualiza a 8.0.12
symfony/security-http Packagist
- Versiones
- v7.4.0
- v7.4.1
- v7.4.11
- v7.4.3
- v7.4.4
- v7.4.6
- v7.4.8
- v7.4.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Actualiza a 7.4.12
symfony/security-http Packagist
- Versiones
- v8.0.0
- v8.0.1
- v8.0.11
- v8.0.3
- v8.0.4
- v8.0.6
- v8.0.8
- v8.0.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Actualiza a 8.0.12
symfony/symfony Packagist
- Versiones
- v7.4.0
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- v7.4.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 7.4.0, < 7.4.12
Actualiza a 7.4.12
symfony/symfony Packagist
- Versiones
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- v8.0.9
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Actualiza a 8.0.12
symfony Ubuntu:16.04:LTS
- Versiones
- 2.7.1+dfsg-1
- 2.7.5+dfsg-1
- 2.7.9+dfsg-1
- 2.7.9+dfsg-1ubuntu2
- 2.7.10-0ubuntu2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:Pro:18.04:LTS
- Versiones
- 2.8.7+dfsg-1.3ubuntu1
- 3.4.3+dfsg-1ubuntu4
- 3.4.6+dfsg-1
- 3.4.6+dfsg-1ubuntu0.1
- 3.4.6+dfsg-1ubuntu0.1+esm1
- 3.4.6+dfsg-1ubuntu0.1+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:Pro:20.04:LTS
- Versiones
- 4.3.4+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1+esm1
- 4.3.8+dfsg-1ubuntu1+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:Pro:22.04:LTS
- Versiones
- 5.2.6+dfsg-1ubuntu7
- 5.4.4+dfsg-1ubuntu8
- 5.4.4+dfsg-1ubuntu8+esm1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:Pro:24.04:LTS
- Versiones
- 5.4.23+dfsg-1ubuntu1
- 5.4.35+dfsg-3ubuntu1
- 6.4.5+dfsg-3ubuntu2
- 6.4.5+dfsg-3ubuntu3
- 6.4.5+dfsg-3ubuntu3+esm1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:25.10
- Versiones
- 6.4.18+dfsg-1ubuntu1
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2ubuntu1
- 6.4.24+dfsg-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:26.10
- Versiones
- 7.4.7+dfsg-1ubuntu1
- 7.4.9+dfsg-1ubuntu1
- 7.4.13+dfsg-2ubuntu1
- 7.4.14+dfsg-1ubuntu2
- 7.4.15+dfsg-2ubuntu2
- 7.4.16+dfsg-1ubuntu2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
symfony Ubuntu:26.04:LTS
- Versiones
- 6.4.24+dfsg-1
- 7.4.5+dfsg-1ubuntu1
- 7.4.6+dfsg-2ubuntu1
- 7.4.7+dfsg-1ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada