JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024068 Symfonyはウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.52、6.4.40、7.4.12、および8.0.12より前のバージョンでは、Symfony\Component\Mime\Header\ParameterizedHeaderがパラメータ値を検証およびエンコードしますが、パラメータ名をそのまま出力していました。そのため、信頼できない入力から派生したパラメータ名を使用する呼び出し元がCRLFやその他の非トークンバイトを含めて、Content-TypeやContent-Dispositionなどの構造化されたメールヘッダーに追加のヘッダーを注入できる状態でした。この問題はバージョン5.4.52、6.4.40、7.4.12、および8.0.12で修正されたと報告されています。 cpe:/a:sensiolabs:symfony https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024068.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45070 https://www.cve.org/CVERecord?id=CVE-2026-45070 National Vulnerability Database (NVD) CVE-2026-45070 https://nvd.nist.gov/vuln/detail/CVE-2026-45070 GitHub Email Header Injection via Non-Token Characters in Mime Parameter Names Advisory symfony/symfony GitHub https://github.com/symfony/symfony/security/advisories/GHSA-vqc8-7275-q272 JVNDB CWE-93 https://cwe.mitre.org/data/definitions/93.html 関連文書 Release v8.0.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v8.0.12 関連文書 Release v6.4.40 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v6.4.40 関連文書 Release v7.4.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v7.4.12 関連文書 [Mime] Reject parameter names containing non-token characters symfony/symfony@e62ea21 GitHub https://github.com/symfony/symfony/commit/e62ea217f8b4ca8ae922ad0f949e0c4dc1f9b613 関連文書 Release v5.4.52 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v5.4.52 2026-07-17T11:17:52+09:00 2026-07-17T11:17:52+09:00