CVE-2026-45067

### Açıklama `Symfony\Component\Mime\Address`, her Symfony Mailer adresinin (to/cc/bcc/from/reply-to) geçtiği değer nesnesidir; kurucusu (constructor), adresi doğruladığı ve geçersiz girdilerde hata fırlattığı şeklinde belgelenmiştir, bu nedenle geliştiriciler bunu bir güvenlik sınırı olarak değerlendirmektedir. Kurucu, yerel kısmı (`@` işaretinden önceki kısım) ham `\r\n` baytları içeren bir RFC-5322 *alıntılanmış dize (quoted string)* olan e-posta adreslerini kabul eder — örneğin `"x\r\nBcc: attacker@evil"@example.com`. Kaydedilen adres daha sonra olduğu gibi (1) oluşturulan mesaj üstbilgilerine ve (2) `SmtpTransport`'un `MAIL FROM:<...>` / `RCPT TO:<...>` protokol satırlarına aktarılarak, gömülü CRLF karakterini yeni bir posta üstbilgisine ve/veya yeni bir SMTP komutuna dönüştürür. ### Çözüm `Address` kurucusu artık satır sonu içeren adresleri reddetmektedir. Bu sorun için yama, 5.4 dalı için [burada](https://github.com/symfony/symfony/commit/dc2dbd29211eb4ddc451373fa1374fb926e94604) mevcuttur. ### Teşekkürler Sorunu bildirdiği ve düzeltmeyi sağladığı için Claude Mythos Preview'a (Project Glasswing aracılığıyla) teşekkür ederiz.