Symfony : le correctif de mai n'était jamais sorti

Votre audit disait vert. Le correctif n'existait pas.

Symfony reconnaît que le correctif de CVE-2026-45070, annoncé en mai, n'a jamais été livré : le commit n'avait été fusionné dans aucune branche de maintenance. Il arrive seulement dans 5.4.55, 6.4.49, 7.4.22 et 8.1.10. La branche 8.0, plus maintenue, doit passer en 8.1.10.

30 octobre 20261 min de lectureintermédiairevidéo 1:18

Ce qui se passe

CVE-2026-45070 (avis GHSA-vqc8-7275-q272) permet d'injecter des en-têtes de courriel par les noms de paramètres des en-têtes Mime. Symfony la disait corrigée en mai. C'était une erreur : le commit existait mais n'a rejoint aucune branche de maintenance, et des utilisateurs l'ont signalé.

Branche	Annoncé en mai, sans le correctif	Vraiment corrigé
5.4	5.4.52	5.4.55
6.4	6.4.40	6.4.49
7.4	7.4.12	7.4.22
8.0	8.0.12	plus maintenue : 8.1.10

L'avis et le billet du CVE ont été rectifiés.

Êtes-vous concerné

Oui si votre application construit des en-têtes Mime avec des noms de paramètres issus d'une saisie. Le billet ne signale aucune exploitation.

Terminal

composer show symfony/mime

Ce qui n'est pas nouveau

Les mêmes changelogs citent trois autres failles, ce qui a semé le doute. Rien ne change pour elles : ces mentions viennent de commits de fusion sans code, créés en préparant la 5.4.54.

CVE	Composant	Déjà corrigée en
CVE-2026-109413	Yaml	6.4.45, 7.4.18, 8.1.6
CVE-2026-108082	HttpFoundation	6.4.46, 7.4.19, 8.1.7
CVE-2026-109449	ExpressionLanguage	6.4.48, 7.4.21, 8.1.9

Sur la 5.4, les trois le sont en 5.4.54, du 15 octobre.

Source : Symfony, 29 octobre 2026. Source en anglais.