Premier Ministre S.G.D.S.N Agence nationale de la sécurité des systèmes d'information Paris, le 20 mai 2026 N° CERTFR-2026-AVI-0617 Affaire suivie par: CERT-FR Avis du CERT-FR Objet: Multiples vulnérabilités dans Symfony Gestion du document Référence CERTFR-2026-AVI-0617 Titre Multiples vulnérabilités dans Symfony Date de la première version 20 mai 2026 Date de la dernière version 20 mai 2026 Source(s) Bulletin de sécurité Symfony GHSA-4qpc-3hr4-r2p4 du 20 mai 2026 Bulletin de sécurité Symfony GHSA-55rj-x2vc-4whq du 20 mai 2026 Bulletin de sécurité Symfony GHSA-59f3-vp2f-mp9w du 20 mai 2026 Bulletin de sécurité Symfony GHSA-64hg-93w9-fc35 du 20 mai 2026 Bulletin de sécurité Symfony GHSA-8v8v-g73j-492j du 20 mai 2026 Bulletin de sécurité Symfony GHSA-9frc-8383-795m du 20 mai 2026 Bulletin de sécurité Symfony GHSA-fqc7-9xjw-jrh3 du 20 mai 2026 Bulletin de sécurité Symfony GHSA-hhg7-c65m-h7ff du 20 mai 2026 Bulletin de sécurité Symfony GHSA-m7v2-7gxm-vc2v du 20 mai 2026 Bulletin de sécurité Symfony GHSA-vqc8-7275-q272 du 20 mai 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Contournement de la politique de sécurité Déni de service à distance Injection de code indirecte à distance (XSS) Injection de requêtes illégitimes par rebond (CSRF) Systèmes affectés symfony/html-sanitizer versions antérieures à 6.4.40 pour composer symfony/html-sanitizer versions antérieures à 7.4.12 pour composer symfony/html-sanitizer versions antérieures à 8.0.12 pour composer symfony/json-path versions antérieures à 7.4.12 pour composer symfony/json-path versions antérieures à 8.0.12 pour composer symfony/lox24-notifier versions antérieures à 7.4.12 pour composer symfony/lox24-notifier versions antérieures à 8.0.12 pour composer symfony/mailjet-mailer versions antérieures à 6.4.40 pour composer symfony/mailjet-mailer versions antérieures à 7.4.12 pour composer symfony/mailjet-mailer versions antérieures à 8.0.12 pour composer symfony/mailtrap-mailer versions antérieures à 7.4.12 pour composer symfony/mailtrap-mailer versions antérieures à 8.0.12 pour composer symfony/mime versions <5.4.x antérieures à 5.4.52 pour composer symfony/mime versions antérieures à 6.4.40 pour composer symfony/mime versions antérieures à 7.4.12 pour composer symfony/mime versions antérieures à 8.0.12 pour composer symfony/monolog-bridge versions <5.4.x antérieures à 5.4.52 pour composer symfony/monolog-bridge versions antérieures à 6.4.40 pour composer symfony/monolog-bridge versions antérieures à 7.4.12 pour composer symfony/monolog-bridge versions antérieures à 8.0.12 pour composer symfony/runtime versions antérieures à 5.4.52 pour composer symfony/runtime versions antérieures à 6.4.40 pour composer symfony/runtime versions antérieures à 7.4.12 pour composer symfony/runtime versions antérieures à 8.0.12 pour composer symfony/symfony versions <5.4.x antérieures à 5.4.52 pour composer symfony/symfony versions antérieures à 5.4.52 pour composer symfony/symfony versions antérieures à 6.4.40 pour composer symfony/symfony versions antérieures à 7.4.12 pour composer symfony/symfony versions antérieures à 8.0.12 pour composer symfony/twilio-notifier versions antérieures à 6.4.40 pour composer symfony/twilio-notifier versions antérieures à 7.4.12 pour composer symfony/twilio-notifier versions antérieures à 8.0.12 pour composer symfony/yaml versions <5.4.x antérieures à 5.4.52 pour composer symfony/yaml versions antérieures à 6.4.40 pour composer symfony/yaml versions antérieures à 7.4.12 pour composer symfony/yaml versions antérieures à 8.0.12 pour composer Résumé De multiples vulnérabilités ont été découvertes dans Symfony. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une injection de code indirecte à distance (XSS) et une injection de requêtes illégitimes par rebond (CSRF). Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité Symfony GHSA-4qpc-3hr4-r2p4 du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-4qpc-3hr4-r2p4 Bulletin de sécurité Symfony GHSA-55rj-x2vc-4whq du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-55rj-x2vc-4whq Bulletin de sécurité Symfony GHSA-59f3-vp2f-mp9w du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-59f3-vp2f-mp9w Bulletin de sécurité Symfony GHSA-64hg-93w9-fc35 du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-64hg-93w9-fc35 Bulletin de sécurité Symfony GHSA-8v8v-g73j-492j du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-8v8v-g73j-492j Bulletin de sécurité Symfony GHSA-9frc-8383-795m du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-9frc-8383-795m Bulletin de sécurité Symfony GHSA-fqc7-9xjw-jrh3 du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-fqc7-9xjw-jrh3 Bulletin de sécurité Symfony GHSA-hhg7-c65m-h7ff du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-hhg7-c65m-h7ff Bulletin de sécurité Symfony GHSA-m7v2-7gxm-vc2v du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-m7v2-7gxm-vc2v Bulletin de sécurité Symfony GHSA-vqc8-7275-q272 du 20 mai 2026 https://github.com/symfony/symfony/security/advisories/GHSA-vqc8-7275-q272 Référence CVE CVE-2026-45070 https://www.cve.org/CVERecord?id=CVE-2026-45070 Référence CVE CVE-2026-45077 https://www.cve.org/CVERecord?id=CVE-2026-45077 Référence CVE CVE-2026-45304 https://www.cve.org/CVERecord?id=CVE-2026-45304 Référence CVE CVE-2026-45305 https://www.cve.org/CVERecord?id=CVE-2026-45305 Référence CVE CVE-2026-45753 https://www.cve.org/CVERecord?id=CVE-2026-45753 Référence CVE CVE-2026-45754 https://www.cve.org/CVERecord?id=CVE-2026-45754 Référence CVE CVE-2026-45755 https://www.cve.org/CVERecord?id=CVE-2026-45755 Référence CVE CVE-2026-45756 https://www.cve.org/CVERecord?id=CVE-2026-45756 Référence CVE CVE-2026-46626 https://www.cve.org/CVERecord?id=CVE-2026-46626 Référence CVE CVE-2026-47212 https://www.cve.org/CVERecord?id=CVE-2026-47212 Gestion détaillée du document le 20 mai 2026 Version initiale