JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024071 Symfonyは、ウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン6.1.0-BETA1から6.4.40、7.4.12、および8.0.12までの間、HtmlSanitizerのURLサニタイズ機能には、allowLinkHosts()やallowMediaHosts()によって許可リスト外のURLを通してしまう可能性がありました。これは、UrlSanitizer::parse()がRFC 3986に準拠している一方でブラウザはWHATWGのURL解析に従っていること、さらに＜area href＞がリンクポリシーではなくメディアポリシーでチェックされているためです。この問題は、バージョン6.4.40、7.4.12、および8.0.12で修正されています。 cpe:/a:sensiolabs:symfony https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024071.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45066 https://www.cve.org/CVERecord?id=CVE-2026-45066 National Vulnerability Database (NVD) CVE-2026-45066 https://nvd.nist.gov/vuln/detail/CVE-2026-45066 GitHub HtmlSanitizer allowLinkHosts() / allowMediaHosts() Bypass via URL-Parser Differentials and <area> Misclassification Advisory symfony/symfony GitHub https://github.com/symfony/symfony/security/advisories/GHSA-qc95-4862-92fh JVNDB CWE-436 https://cwe.mitre.org/data/definitions/436.html JVNDB CWE-184 https://cwe.mitre.org/data/definitions/184.html 関連文書 Release v7.4.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v7.4.12 関連文書 Release v6.4.40 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v6.4.40 関連文書 Release v8.0.12 symfony/symfony GitHub https://github.com/symfony/symfony/releases/tag/v8.0.12 関連文書 [HtmlSanitizer] Fix allowLinkHosts/allowMediaHosts bypass via URL par… symfony/symfony@d506b55 GitHub https://github.com/symfony/symfony/commit/d506b556d3d3906f3e8660ad82257ce87edbaac4 2026-07-17T11:18:01+09:00 2026-07-17T11:18:01+09:00