NVD Vulnerability Detail

CVE-2026-48761

Summary	Symfony is a PHP framework for web and console applications and a set of reusable PHP components. From 6.1.0 until 6.4.41, 7.4.13, and 8.0.13, UrlAttributeSanitizer::getSupportedAttributes() omitted URL-bearing attributes on <object>, <applet>, <iframe>, and <img>, and <meta http-equiv="refresh"> URLs inside content bypassed URL sanitization, allowing explicitly enabled elements or attributes to pass javascript: and similar payloads into sanitized output. This issue is fixed in versions 6.4.41, 7.4.13, and 8.0.13.
Publication Date	July 15, 2026, 5:17 a.m.
Registration Date	July 16, 2026, 4:23 a.m.
Last Update	July 15, 2026, 11:45 p.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource
1	https://github.com/symfony/symfony/commit/069a70f9f26e61e9de3b7f9a864a86ed24b36bd0	security-advisories@github.com
2	https://github.com/symfony/symfony/releases/tag/v6.4.41	security-advisories@github.com
3	https://github.com/symfony/symfony/releases/tag/v7.4.13	security-advisories@github.com
4	https://github.com/symfony/symfony/releases/tag/v8.0.13	security-advisories@github.com
5	https://github.com/symfony/symfony/security/advisories/GHSA-x5qj-865h-mgvm	security-advisories@github.com

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html
2	CWE-1023	要素の欠如による不完全な比較	https://cwe.mitre.org/data/definitions/1023.html

JVN Vulnerability Information

Sensio LabsのSymfonyにおける複数の脆弱性

Title	Sensio LabsのSymfonyにおける複数の脆弱性
Summary	Symfonyは、ウェブおよびコンソールアプリケーション用のPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン6.1.0から6.4.41、7.4.13、および8.0.13までの間で、UrlAttributeSanitizer::getSupportedAttributes()は＜object＞、＜applet＞、＜iframe＞、および＜img＞のURLを含む属性を省略し、＜meta http-equiv="refresh"＞のURLがコンテンツ内でURLサニタイズを回避していました。その結果、明示的に有効化された要素や属性がjavascript:などのペイロードをサニタイズ済みの出力に通過させることが可能になっていました。この問題はバージョン6.4.41、7.4.13、および8.0.13で修正されています。
Possible impacts	・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。・当該ソフトウェアは停止しません。
Solution	ベンダ情報を参照して適切な対策を実施してください。
Publication Date	July 14, 2026, midnight
Registration Date	July 17, 2026, 11:15 a.m.
Last Update	July 17, 2026, 11:15 a.m.

Affected System

Sensio Labs

Symfony 6.1.0 以上 6.4.41 未満

Symfony 7.0.0 以上 7.4.13 未満

Symfony 8.0.0 以上 8.0.13 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2026-48761	https://www.cve.org/CVERecord?id=CVE-2026-48761
National Vulnerability Database (NVD)
2	CVE-2026-48761	https://nvd.nist.gov/vuln/detail/CVE-2026-48761

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-1023	https://cwe.mitre.org/data/definitions/1023.html
2	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html

ベンダー情報

No	Name	URL
GitHub
1	HtmlSanitizer UrlAttributeSanitizer Misses URL Attributes on <object>, <applet>, <iframe>, <img> and the URL Inside <meta http-equiv="refresh"> content Advisory symfony/symfony GitHub	https://github.com/symfony/symfony/security/advisories/GHSA-x5qj-865h-mgvm

その他

No	Name	URL
関連文書
1	Release v6.4.41 symfony/symfony GitHub	https://github.com/symfony/symfony/releases/tag/v6.4.41
2	Release v7.4.13 symfony/symfony GitHub	https://github.com/symfony/symfony/releases/tag/v7.4.13
3	Release v8.0.13 symfony/symfony GitHub	https://github.com/symfony/symfony/releases/tag/v8.0.13
4	[HtmlSanitizer] Sanitize URL attributes on <object>, <applet>, <ifram… symfony/symfony@069a70f GitHub	https://github.com/symfony/symfony/commit/069a70f9f26e61e9de3b7f9a864a86ed24b36bd0

Change Log

No	Changed Details	Date of change
1	[2026年07月17日] 掲載	July 17, 2026, 11:15 a.m.