CVE-2026-121949

Symfony HtmlSanitizer bileşeni, media URL politikasını srcset ve imagesrcset özniteliklerine uygulamamaktadır; bu durum, allowMediaSchemes() veya allowMediaHosts() tarafından izin verilmeyen ana makinelere veya şemalara işaret eden değerlerin politikayı atlamasına neden olarak tarayıcıların izin verilmeyen ana makinelerden görüntüleri yüklemesine yol açmaktadır. Bu sorun Symfony'nin 6.4.50 öncesindeki 6.1.x, 7.4.23 öncesindeki 7.x ve 8.1.11 öncesindeki 8.x sürümlerini etkilemektedir. img ve source öğelerindeki srcset özniteliği ile link öğelerindeki imagesrcset özniteliğine temizleyici (sanitizer) tarafından izin verilmekte ancak bunların URL adayları hiçbir zaman doğrulanmamaktadır; bu nedenle src içindeki aynı URL kaldırılırken, bu özniteliklerdeki değerler olduğu gibi korunmaktadır. CVE-2026-45753 ve CVE-2026-48761 için yayınlanan düzeltmeler aynı öznitelik listesini genişletmiş ancak bu iki özniteliği kapsamamıştır. Örneğin, allowMediaSchemes(['https']) ve allowMediaHosts(['trusted.example']) yapılandırmasıyla <img srcset="https://evil.example/a.png 1x"> ifadesi temizleme işleminden sağ çıkar ve tarayıcı seçilen adayı tıpkı src'yi getireceği gibi getirir. Yapılandırma tarafından yasaklanan http gibi şemalara sahip adaylar da aynı şekilde korunur. Güvenilmeyen HTML içeriğini temizleyen ve görüntülerin nereden yükleneceğini kısıtlamak için medya şemaları ve ana makine izin listelerine güvenen tüm uygulamalar etkilenmektedir. Temizlenmiş içeriği görüntüleyen bir kullanıcının tarayıcısının saldırgan kontrollü bir ana makineye istek göndermesini sağlamak için tek bir özel hazırlanmış değer yeterlidir; bu durum izleyicileri takip etmek veya IP adreslerini kaydetmek için kullanılabilir. Uygulamanın kimliği doğrulanmamış kullanıcılardan HTML kabul etmesi durumunda herhangi bir kimlik doğrulama gerekmemektedir.