CVE-2026-121949

Symfony HtmlSanitizer komponenti media URL siyasətini srcset və imagesrcset atributlarına tətbiq etmir. Bu, allowMediaSchemes() və ya allowMediaHosts() tərəfindən icazə verilməyən hostlara və ya sxemlərə yönəlmiş dəyərlərin bu siyasətdən yan keçməsinə şərait yaradır, nəticədə brauzerlər Symfony-nin 6.4.50-dən əvvəlki 6.1.x, 7.4.23-dən əvvəlki 7.x və 8.1.11-dən əvvəlki 8.x versiyalarında icazə verilməyən hostlardan şəkilləri yükləyir. img və source elementlərindəki srcset atributu və link elementlərindəki imagesrcset atributuna sanitar tərəfindən icazə verilir, lakin onların URL namizədləri heç vaxt yoxlanılmır, buna görə də src-dəki eyni URL silindikdə belə, bu atributların dəyərləri olduğu kimi saxlanılır. CVE-2026-45753 və CVE-2026-48761 üçün tətbiq edilən düzəlişlər eyni atribut siyahısını genişləndirsə də, bu iki atributu əhatə etmədi. Məsələn, allowMediaSchemes(['https']) və allowMediaHosts(['trusted.example']) konfiqurasiyası ilə <img srcset="https://evil.example/a.png 1x"> sanitizasiyadan sağ çıxır və brauzer seçilmiş namizədi src-ni yüklədiyi kimi yükləyir. Konfiqurasiya tərəfindən qadağan edilmiş http kimi sxemlərə malik namizədlər də saxlanılır. Etibarsız HTML-i sanitizasiya edən və şəkillərin haradan yüklənəcəyini məhdudlaşdırmaq üçün media sxemləri və hostlarının ağ siyahılarına güvənən hər bir tətbiq təsirlənir. Sanitizasiya olunmuş məzmunu izləyən istifadəçinin brauzerinin hücumçu tərəfindən idarə olunan hosta sorğu göndərməsi üçün tək bir hazırlanmış dəyər kifayətdir ki, bu da izləyiciləri izləmək və ya onların IP ünvanlarını qeydə almaq üçün istifadə edilə bilər. Tətbiq autentifikasiya olunmamış istifadəçilərdən HTML qəbul edirsə, heç bir autentifikasiyaya ehtiyac yoxdur.