p PatchFirst

CVE-2026-46644

CVE-2026-46644 · symfony/polyfill-intl-idn accepts xn-- labels whose Punycode payload decodes to ASCII-only: insecure equivalence

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Symfony Polyfill backports PHP features and provides compatibility layers for extensions and functions. From 1.17.1 until 1.38.1, symfony/polyfill-intl-idn accepts xn-- labels whose Punycode payload is empty or decodes to ASCII-only code points because Idn::process() does not enforce the UTS #46 revision 33 requirement that decoded ACE labels contain at least one non-ASCII code point. Originally unequal domain names can be regarded as equal, which can lead to blacklist bypassing, inconsistent URL parsing, and server-side request forgery in applications using the polyfill to canonicalise or compare hostnames. This issue is fixed in version 1.38.1.

CVSS 6.9 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • polyfill

    Versions du logiciel
    • >= 1.17.1, < 1.38.1: Concernée

    Aucun correctif publié

  • polyfill-intl-idn

    Versions du logiciel
    • >= 1.17.1, < 1.38.1: Concernée

    Aucun correctif publié

  • php-symfony-polyfill Debian:12

    Versions du logiciel
    • 1.27.0-2
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-2
    • 1.29.0-3
    • 1.30.0-1
    • 1.31.0-1
    • 1.31.0-2
    • 1.31.0-3
    • 1.31.0-4
    • 1.31.0-5
    • 1.32.0-1
    • 1.33.0-1
    • 1.33.0-2
    • 1.33.0-3
    • 1.33.0-4
    • 1.33.0-5
    • 1.33.0-6
    • 1.36.0-1
    • 1.37.0-1
    • 1.38.1-1
    • 1.40.0-1
    • 1.40.0-2
    • 1.41.0-1
    • 1.41.0-2
    • 1.42.0-1
    • 1.42.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Debian:14

    Versions du logiciel
    • 1.1.0-1
    • 1.1.1-1
    • 1.17.0-1
    • 1.17.0-2
    • 1.17.1-1
    • 1.18.0-1
    • 1.18.1-1
    • 1.2.0-1
    • 1.21.0-1
    • 1.21.0-2
    • 1.22.0-1
    • 1.22.0-1~exp1
    • 1.22.0-2
    • 1.22.0-3
    • 1.22.1-1
    • 1.23.0-1
    • 1.23.1-1
    • 1.23.1-2
    • 1.24.0-1
    • 1.25.0-1
    • 1.25.0-2
    • 1.25.0-3
    • 1.25.0-4
    • 1.26.0-1
    • 1.26.0-2
    • 1.26.0-3
    • 1.27.0-1
    • 1.27.0-1~new
    • 1.27.0-2
    • 1.28.0-1
    • 1.29.0-1
    • 1.29.0-2
    • 1.29.0-3
    • 1.30.0-1
    • 1.31.0-1
    • 1.31.0-2
    • 1.31.0-3
    • 1.31.0-4
    • 1.31.0-5
    • 1.32.0-1
    • 1.33.0-1
    • 1.33.0-2
    • 1.33.0-3
    • 1.33.0-4
    • 1.33.0-5
    • 1.33.0-6
    • 1.36.0-1
    • 1.37.0-1
    • 1.5.0-1
    • 1.6.0-1
    • 1.6.0-2
    • 1.7.0-1
    • 1.8.0-1
    • 1.9.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.38.1-1

    Mettez à jour vers 1.38.1-1

  • symfony/polyfill Packagist

    Versions du logiciel
    • v1.17.1
    • v1.18.0
    • v1.18.1
    • v1.19.0
    • v1.20.0
    • v1.22.0
    • v1.22.1
    • v1.23.0
    • v1.23.1
    • v1.24.0
    • v1.25.0
    • v1.26.0
    • v1.27.0
    • v1.28.0
    • v1.29.0
    • v1.30.0
    • v1.31.0
    • v1.32.0
    • v1.33.0
    • v1.34.0
    • v1.35.0
    • v1.36.0
    • v1.37.0
    • v1.38.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.17.1, < 1.38.1

    Mettez à jour vers 1.38.1

  • symfony/polyfill-intl-idn Packagist

    Versions du logiciel
    • v1.17.1
    • v1.18.0
    • v1.18.1
    • v1.19.0
    • v1.20.0
    • v1.22.0
    • v1.22.1
    • v1.23.0
    • v1.24.0
    • v1.25.0
    • v1.26.0
    • v1.27.0
    • v1.28.0
    • v1.29.0
    • v1.30.0
    • v1.31.0
    • v1.32.0
    • v1.33.0
    • v1.34.0
    • v1.35.0
    • v1.36.0
    • v1.37.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.17.1, < 1.38.1

    Mettez à jour vers 1.38.1

  • php-symfony-polyfill Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.2.0-1ubuntu1
    • 1.6.0-1
    • 1.6.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.22.1-1
    • 1.23.1-1
    • 1.24.0-1ubuntu1
    • 1.24.0-1ubuntu2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.27.0-2
    • 1.28.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Ubuntu:25.10

    Versions du logiciel
    • 1.31.0-4ubuntu1
    • 1.31.0-5ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Ubuntu:26.10

    Versions du logiciel
    • 1.33.0-6ubuntu1
    • 1.37.0-1ubuntu1
    • 1.40.0-2
    • 1.41.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-symfony-polyfill Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.31.0-5ubuntu1
    • 1.33.0-4ubuntu1
    • 1.33.0-5ubuntu1
    • 1.33.0-6ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →