Symfony corrige une sortie de répertoire dans son composant Filesystem
Le projet Symfony a publié le 4 novembre 2026 un avis de sécurité concernant son composant Filesystem. Classée de gravité élevée, la faille touche l’interprétation des chemins par la classe Path. Dans certaines applications, un chemin issu d’une entrée non fiable peut contourner les vérifications destinées à limiter les accès à un répertoire et permettre la lecture ou l’écriture de fichiers ailleurs.
Les méthodes de normalisation et de construction des chemins sont concernées. À partir de Symfony 6.4, AssetMapper présente également un scénario d’exposition : un paquet distant malveillant ou compromis peut provoquer une écriture hors du répertoire assets/vendor lors de son installation.
Les versions corrigées sont 5.4.56, 6.4.50, 7.4.23 et 8.1.11, selon la branche utilisée. L’avis vise les paquets symfony/filesystem et symfony/symfony et ne mentionne pas encore d’identifiant CVE. Les équipes doivent mettre à jour les dépendances concernées, vérifier les versions effectivement déployées et examiner les traitements de chemins alimentés par des données externes. La présence de Symfony ne suffit pas, à elle seule, à établir qu’une application est exploitable.
Sources :
