JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024058 Symfonyは、ウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン6.1.0-BETA1から6.4.40、7.4.12、および8.0.12までの間で、UrlAttributeSanitizer::getSupportedAttributes()はaction、formaction、poster、citeを含むURL値の属性を省略していました。そのため、これらの属性を許可する設定の場合、javascript: URIがサニタイズされず、生成されたHTMLがレンダリングされたり、被害者がフォームを送信したりボタンをクリックした際にXSSが発生する可能性がありました。この問題はバージョン6.4.40、7.4.12、および8.0.12で修正されています。 cpe:/a:sensiolabs:symfony https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024058.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45753 https://www.cve.org/CVERecord?id=CVE-2026-45753 National Vulnerability Database (NVD) CVE-2026-45753 https://nvd.nist.gov/vuln/detail/CVE-2026-45753 GitHub HtmlSanitizer UrlAttributeSanitizer Omits action/formaction/poster/cite: javascript: URI Survives Sanitization (XSS) Advisory symfony/symfony GitHub https://github.com/symfony/symfony/security/advisories/GHSA-hhg7-c65m-h7ff JVNDB CWE-184 https://cwe.mitre.org/data/definitions/184.html JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 Release v8.0.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v8.0.12 関連文書 [HtmlSanitizer] Sanitize URLs in action, formaction, poster and cite … symfony/symfony@487728e GitHub https://github.com/symfony/symfony/commit/487728e7e180a674a6d4c01bd0cb56161cc441b7 関連文書 Release v6.4.40 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v6.4.40 関連文書 Release v7.4.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v7.4.12 2026-07-17T11:17:21+09:00 2026-07-17T11:17:21+09:00