p PatchFirst

CVE-2026-46644

CVE-2026-46644 · symfony/polyfill-intl-idn accepts xn-- labels whose Punycode payload decodes to ASCII-only: insecure equivalence

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Symfony Polyfill backports PHP features and provides compatibility layers for extensions and functions. From 1.17.1 until 1.38.1, symfony/polyfill-intl-idn accepts xn-- labels whose Punycode payload is empty or decodes to ASCII-only code points because Idn::process() does not enforce the UTS #46 revision 33 requirement that decoded ACE labels contain at least one non-ASCII code point. Originally unequal domain names can be regarded as equal, which can lead to blacklist bypassing, inconsistent URL parsing, and server-side request forgery in applications using the polyfill to canonicalise or compare hostnames. This issue is fixed in version 1.38.1.

CVSS 6.9 · Media · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · php

Productos y versiones afectados

  • polyfill

    Versiones
    • >= 1.17.1, < 1.38.1: Afectada

    Sin corrección publicada

  • polyfill-intl-idn

    Versiones
    • >= 1.17.1, < 1.38.1: Afectada

    Sin corrección publicada

  • php-symfony-polyfill Debian:12

    Versiones
    • 1.27.0-2
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-2
    • 1.29.0-3
    • 1.30.0-1
    • 1.31.0-1
    • 1.31.0-2
    • 1.31.0-3
    • 1.31.0-4
    • 1.31.0-5
    • 1.32.0-1
    • 1.33.0-1
    • 1.33.0-2
    • 1.33.0-3
    • 1.33.0-4
    • 1.33.0-5
    • 1.33.0-6
    • 1.36.0-1
    • 1.37.0-1
    • 1.38.1-1
    • 1.40.0-1
    • 1.40.0-2
    • 1.41.0-1
    • 1.41.0-2
    • 1.42.0-1
    • 1.42.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Debian:14

    Versiones
    • 1.1.0-1
    • 1.1.1-1
    • 1.17.0-1
    • 1.17.0-2
    • 1.17.1-1
    • 1.18.0-1
    • 1.18.1-1
    • 1.2.0-1
    • 1.21.0-1
    • 1.21.0-2
    • 1.22.0-1
    • 1.22.0-1~exp1
    • 1.22.0-2
    • 1.22.0-3
    • 1.22.1-1
    • 1.23.0-1
    • 1.23.1-1
    • 1.23.1-2
    • 1.24.0-1
    • 1.25.0-1
    • 1.25.0-2
    • 1.25.0-3
    • 1.25.0-4
    • 1.26.0-1
    • 1.26.0-2
    • 1.26.0-3
    • 1.27.0-1
    • 1.27.0-1~new
    • 1.27.0-2
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-2
    • 1.29.0-3
    • 1.30.0-1
    • 1.31.0-1
    • 1.31.0-2
    • 1.31.0-3
    • 1.31.0-4
    • 1.31.0-5
    • 1.32.0-1
    • 1.33.0-1
    • 1.33.0-2
    • 1.33.0-3
    • 1.33.0-4
    • 1.33.0-5
    • 1.33.0-6
    • 1.36.0-1
    • 1.37.0-1
    • 1.5.0-1
    • 1.6.0-1
    • 1.6.0-2
    • 1.7.0-1
    • 1.8.0-1
    • 1.9.0-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.38.1-1

    Actualiza a 1.38.1-1

  • symfony/polyfill Packagist

    Versiones
    • v1.17.1
    • v1.18.0
    • v1.18.1
    • v1.19.0
    • v1.20.0
    • v1.22.0
    • v1.22.1
    • v1.23.0
    • v1.23.1
    • v1.24.0
    • v1.25.0
    • v1.26.0
    • v1.27.0
    • v1.28.0
    • v1.29.0
    • v1.30.0
    • v1.31.0
    • v1.32.0
    • v1.33.0
    • v1.34.0
    • v1.35.0
    • v1.36.0
    • v1.37.0
    • v1.38.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 1.17.1, < 1.38.1

    Actualiza a 1.38.1

  • symfony/polyfill-intl-idn Packagist

    Versiones
    • v1.17.1
    • v1.18.0
    • v1.18.1
    • v1.19.0
    • v1.20.0
    • v1.22.0
    • v1.22.1
    • v1.23.0
    • v1.24.0
    • v1.25.0
    • v1.26.0
    • v1.27.0
    • v1.28.0
    • v1.29.0
    • v1.30.0
    • v1.31.0
    • v1.32.0
    • v1.33.0
    • v1.34.0
    • v1.35.0
    • v1.36.0
    • v1.37.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 1.17.1, < 1.38.1

    Actualiza a 1.38.1

  • php-symfony-polyfill Ubuntu:18.04:LTS

    Versiones
    • 1.2.0-1ubuntu1
    • 1.6.0-1
    • 1.6.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Ubuntu:22.04:LTS

    Versiones
    • 1.22.1-1
    • 1.23.1-1
    • 1.24.0-1ubuntu1
    • 1.24.0-1ubuntu2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Ubuntu:24.04:LTS

    Versiones
    • 1.27.0-2
    • 1.28.0-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Ubuntu:25.10

    Versiones
    • 1.31.0-4ubuntu1
    • 1.31.0-5ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Ubuntu:26.10

    Versiones
    • 1.33.0-6ubuntu1
    • 1.37.0-1ubuntu1
    • 1.40.0-2
    • 1.41.0-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • php-symfony-polyfill Ubuntu:26.04:LTS

    Versiones
    • 1.31.0-5ubuntu1
    • 1.33.0-4ubuntu1
    • 1.33.0-5ubuntu1
    • 1.33.0-6ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →