CVE-2026-45754
CVE-2026-45754 · Symfony: Mailjet Mailer Webhook Parser Never Verifies the Configured Secret — Unauthenticated Webhook Event Injection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Prior to 6.4.40, 7.4.12, and 8.0.12, the Mailjet mailer bridge and LOX24 notifier bridge webhook parsers received configured webhook secrets but did not verify them, allowing unauthenticated POST requests to inject forged Mailjet and LOX24 event payloads. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.
CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
symfony
- Versions du logiciel
- >= 6.4.0, < 6.4.40: Concernée
- >= 7.0.0-BETA1, < 7.4.12: Concernée
- >= 8.0.0-BETA1, < 8.0.12: Concernée
Aucun correctif publié
lox24-notifier
- Versions du logiciel
- >= 7.1.0-BETA1, < 7.4.12: Concernée
- >= 8.0.0-BETA1, < 8.0.12: Concernée
Aucun correctif publié
mailjet-mailer
- Versions du logiciel
- >= 6.4.0, < 6.4.40: Concernée
- >= 7.0.0-BETA1, < 7.4.12: Concernée
- >= 8.0.0-BETA1, < 8.0.12: Concernée
Aucun correctif publié
symfony Debian:13
- Versions du logiciel
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2+deb13u1
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 6.4.40+dfsg-0+deb13u1
- Plages de versions concernées
- ECOSYSTEM: < 6.4.41+dfsg-0+deb13u1
Mettez à jour vers 6.4.41+dfsg-0+deb13u1
symfony Debian:14
- Versions du logiciel
- 6.4.21+dfsg-2
- 6.4.24+dfsg-1
- 6.4.25+dfsg-1
- 7.0.4+dfsg-1
- 7.0.5+dfsg-1
- 7.0.6+dfsg-1
- 7.0.7+dfsg-1
- 7.1.0~beta1+dfsg-1
- 7.1.0~rc1+dfsg-1
- 7.1.2+dfsg-1
- 7.1.3+dfsg-1
- 7.1.4+dfsg-1
- 7.1.5+dfsg-1
- 7.2.0~beta1+dfsg-1
- 7.2.0~beta2+dfsg-1
- 7.2.0~rc1+dfsg-1
- 7.2.1+dfsg-1
- 7.2.2+dfsg-1
- 7.2.3+dfsg-1
- 7.2.4+dfsg-1
- 7.2.5+dfsg-1
- 7.2.6-1
- 7.3.0+dfsg-1
- 7.3.0~beta1+dfsg-1
- 7.3.0~beta2+dfsg-1
- 7.3.0~rc1+dfsg-1
- 7.3.1+dfsg-1
- 7.3.2+dfsg-1
- 7.3.3+dfsg-1
- 7.3.4+dfsg-1
- 7.3.5-1
- 7.4.0+dfsg-1
- 7.4.0+dfsg-2
- 7.4.0~beta1-1
- 7.4.0~beta1-2
- 7.4.0~beta2+dfsg-1
- 7.4.0~beta2+dfsg-2
- 7.4.0~beta2+dfsg-3
- 7.4.0~rc1+dfsg-1
- 7.4.0~rc2+dfsg-1
- 7.4.0~rc3+dfsg-1
- 7.4.10+dfsg-1
- 7.4.2+dfsg-1
- 7.4.2+dfsg-2
- 7.4.3+dfsg-1
- 7.4.4+dfsg-1
- 7.4.5+dfsg-1
- 7.4.6+dfsg-1
- 7.4.6+dfsg-2
- 7.4.7+dfsg-1
- 7.4.8+dfsg-1
- 7.4.9+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: < 7.4.12+dfsg-1
Mettez à jour vers 7.4.12+dfsg-1
symfony/lox24-notifier Packagist
- Versions du logiciel
- v7.1.0
- v7.1.1
- v7.1.2
- v7.1.5
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.10
- v7.3.2
- v7.3.4
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.4
- Plages de versions concernées
- ECOSYSTEM: ≥ 7.1.0, < 7.4.12
Mettez à jour vers 7.4.12
symfony/lox24-notifier Packagist
- Versions du logiciel
- v8.0.0
- v8.0.4
- Plages de versions concernées
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Mettez à jour vers 8.0.12
symfony/symfony Packagist
- Versions du logiciel
- v6.4.0
- v6.4.1
- v6.4.10
- v6.4.11
- v6.4.12
- v6.4.13
- v6.4.14
- v6.4.15
- v6.4.16
- v6.4.17
- v6.4.18
- v6.4.19
- v6.4.2
- v6.4.20
- v6.4.21
- v6.4.22
- v6.4.23
- v6.4.24
- v6.4.25
- v6.4.26
- v6.4.27
- v6.4.28
- v6.4.29
- v6.4.3
- v6.4.30
- v6.4.31
- v6.4.32
- v6.4.33
- v6.4.34
- v6.4.35
- v6.4.36
- v6.4.37
- v6.4.38
- v6.4.39
- v6.4.4
- v6.4.5
- v6.4.6
- v6.4.7
- v6.4.8
- v6.4.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Mettez à jour vers 6.4.40
symfony/symfony Packagist
- Versions du logiciel
- v7.0.0
- v7.0.1
- v7.0.10
- v7.0.2
- v7.0.3
- v7.0.4
- v7.0.5
- v7.0.6
- v7.0.7
- v7.0.8
- v7.0.9
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.10
- v7.1.11
- v7.1.2
- v7.1.3
- v7.1.4
- v7.1.5
- v7.1.6
- v7.1.7
- v7.1.8
- v7.1.9
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-BETA2
- v7.2.0-RC1
- v7.2.1
- v7.2.2
- v7.2.3
- v7.2.4
- v7.2.5
- v7.2.6
- v7.2.7
- v7.2.8
- v7.2.9
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-BETA2
- v7.3.0-RC1
- v7.3.1
- v7.3.10
- v7.3.11
- v7.3.2
- v7.3.3
- v7.3.4
- v7.3.5
- v7.3.6
- v7.3.7
- v7.3.8
- v7.3.9
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-BETA2
- v7.4.0-RC1
- v7.4.0-RC2
- v7.4.0-RC3
- v7.4.1
- v7.4.10
- v7.4.11
- v7.4.2
- v7.4.3
- v7.4.4
- v7.4.5
- v7.4.6
- v7.4.7
- v7.4.8
- v7.4.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Mettez à jour vers 7.4.12
symfony/symfony Packagist
- Versions du logiciel
- v8.0.0
- v8.0.1
- v8.0.10
- v8.0.11
- v8.0.2
- v8.0.3
- v8.0.4
- v8.0.5
- v8.0.6
- v8.0.7
- v8.0.8
- v8.0.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Mettez à jour vers 8.0.12
symfony/mailjet-mailer Packagist
- Versions du logiciel
- v6.4.0
- v6.4.13
- v6.4.2
- v6.4.24
- v6.4.27
- v6.4.3
- v6.4.34
- v6.4.35
- v6.4.7
- v6.4.8
- Plages de versions concernées
- ECOSYSTEM: ≥ 6.4.0, < 6.4.40
Mettez à jour vers 6.4.40
symfony/mailjet-mailer Packagist
- Versions du logiciel
- v7.0.0
- v7.0.2
- v7.0.3
- v7.0.7
- v7.0.8
- v7.1.0
- v7.1.0-BETA1
- v7.1.0-RC1
- v7.1.1
- v7.1.6
- v7.2.0
- v7.2.0-BETA1
- v7.2.0-RC1
- v7.3.0
- v7.3.0-BETA1
- v7.3.0-RC1
- v7.3.5
- v7.4.0
- v7.4.0-BETA1
- v7.4.0-RC1
- v7.4.6
- v7.4.7
- Plages de versions concernées
- ECOSYSTEM: ≥ 7.0.0, < 7.4.12
Mettez à jour vers 7.4.12
symfony/mailjet-mailer Packagist
- Versions du logiciel
- v8.0.0
- v8.0.6
- v8.0.7
- Plages de versions concernées
- ECOSYSTEM: ≥ 8.0.0, < 8.0.12
Mettez à jour vers 8.0.12
symfony Ubuntu:16.04:LTS
- Versions du logiciel
- 2.7.1+dfsg-1
- 2.7.5+dfsg-1
- 2.7.9+dfsg-1
- 2.7.9+dfsg-1ubuntu2
- 2.7.10-0ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 2.8.7+dfsg-1.3ubuntu1
- 3.4.3+dfsg-1ubuntu4
- 3.4.6+dfsg-1
- 3.4.6+dfsg-1ubuntu0.1
- 3.4.6+dfsg-1ubuntu0.1+esm1
- 3.4.6+dfsg-1ubuntu0.1+esm2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 4.3.4+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1
- 4.3.8+dfsg-1ubuntu1+esm1
- 4.3.8+dfsg-1ubuntu1+esm2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 5.2.6+dfsg-1ubuntu7
- 5.4.4+dfsg-1ubuntu8
- 5.4.4+dfsg-1ubuntu8+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:Pro:24.04:LTS
- Versions du logiciel
- 5.4.23+dfsg-1ubuntu1
- 5.4.35+dfsg-3ubuntu1
- 6.4.5+dfsg-3ubuntu2
- 6.4.5+dfsg-3ubuntu3
- 6.4.5+dfsg-3ubuntu3+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:25.10
- Versions du logiciel
- 6.4.18+dfsg-1ubuntu1
- 6.4.21+dfsg-2
- 6.4.21+dfsg-2ubuntu1
- 6.4.24+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:26.10
- Versions du logiciel
- 7.4.7+dfsg-1ubuntu1
- 7.4.9+dfsg-1ubuntu1
- 7.4.13+dfsg-2ubuntu1
- 7.4.14+dfsg-1ubuntu2
- 7.4.15+dfsg-2ubuntu2
- 7.4.16+dfsg-1ubuntu2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
symfony Ubuntu:26.04:LTS
- Versions du logiciel
- 6.4.24+dfsg-1
- 7.4.5+dfsg-1ubuntu1
- 7.4.6+dfsg-2ubuntu1
- 7.4.7+dfsg-1ubuntu1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://github.com/symfony/symfony/security/advisories/GHSA-64hg-93w9-fc35
- https://github.com/symfony/symfony/commit/3e52bf5ab733ee32e35eeeeb2631d859c941838e
- https://github.com/symfony/symfony/commit/4aaa45dd054f73445f1ab254968b7e60b546cc77
- https://github.com/symfony/symfony/releases/tag/v6.4.40
- https://github.com/symfony/symfony/releases/tag/v7.4.12
- https://github.com/symfony/symfony/releases/tag/v8.0.12
- https://nvd.nist.gov/vuln/detail/CVE-2026-45754