製品・ソフトウェアに関する情報
Vulnerability Search
Sensio LabsのSymfonyにおける複数の脆弱性
Title Sensio LabsのSymfonyにおける複数の脆弱性
Summary

Symfonyは、ウェブおよびコンソールアプリケーションのためのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットを提供します。バージョン6.1.0-BETA1から6.4.40、7.4.12、および8.0.12までの間、UrlSanitizer::parse()はUnicodeの明示的な方向性を持つBiDi（双方向）フォーマット文字を、サニタイズされたhrefおよびsrc属性にそのまま通過させていました。そのため、サニタイズされたコンテンツが実際のリンク先とは異なる視覚的なリンク先を表示できる状態となり、フィッシングスタイルの視覚的ななりすましを可能にしていました。この問題はバージョン6.4.40、7.4.12、8.0.12で修正されています。

Possible impacts ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date July 14, 2026, midnight
Registration Date July 17, 2026, 11:18 a.m.
Last Update July 17, 2026, 11:18 a.m.
CVSS3.0 : 警告
Score 6.1
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Affected System
Sensio Labs
Symfony 6.1.0 以上 6.4.40 未満
Symfony 7.0.0 以上 7.4.12 未満
Symfony 8.0.0 以上 8.0.12 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年07月17日]
  掲載		 July 17, 2026, 11:18 a.m.
NVD Vulnerability Information
CVE-2026-45064
Summary

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0-BETA1 until 6.4.40, 7.4.12, and 8.0.12, UrlSanitizer::parse() passes Unicode explicit-direction BiDi formatting characters through into sanitized href and src attributes, allowing sanitized content to display a link destination that visually differs from the actual destination and enabling phishing-style visual spoofing. This issue is fixed in versions 6.4.40, 7.4.12, and 8.0.12.

Publication Date July 15, 2026, 4:17 a.m.
Registration Date July 16, 2026, 4:22 a.m.
Last Update July 16, 2026, 12:01 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 6.1.0 6.4.40
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 7.0.0 7.4.12
cpe:2.3:a:sensiolabs:symfony:*:*:*:*:*:*:*:* 8.0.0 8.0.12
Related information, measures and tools
Common Vulnerabilities List