Symfony, la correzione di CVE-2026-45070 non era mai uscita: aggiorna a 7.4.22 o 8.1.10

A maggio Symfony aveva annunciato la correzione di una falla in symfony/mime, ma il commit non era mai finito in una release. La correzione vera è in 5.4.55, 6.4.49, 7.4.22 e 8.1.10. Controlla la versione, non la data dell'ultimo aggiornamento.

Il 29 ottobre 2026 Symfony ha ammesso un errore: la correzione di CVE-2026-45070, data per fatta a maggio, non era mai entrata in una release. Le versioni 5.4.52, 6.4.40, 7.4.12 e 8.0.12 sono ancora vulnerabili.

Perché ti riguarda: se a maggio hai aggiornato e archiviato la pratica, il tuo symfony/mime potrebbe essere ancora esposto.

La falla riguarda i nomi dei parametri negli header strutturati delle email, come Content-Type e Content-Disposition. Il componente li scriveva senza controllarli. Se la tua applicazione lascia decidere quei nomi all’input dell’utente, un attaccante può aggiungere header al messaggio. Il commit con la correzione esisteva, ma non era mai stato unito a un ramo di manutenzione, quindi nessuna release lo conteneva. Ora Symfony ha corretto il post originale. Al momento della nostra verifica, il 5 novembre, la pagina dell’advisory su GitHub riportava però ancora le versioni vecchie: fa fede il blog di Symfony.

Symfony 8.0 non è più mantenuto: chi lo usa deve passare a 8.1.10. Nel changelog compaiono anche CVE-2026-109413, CVE-2026-108082 e CVE-2026-109449: sono commit di merge senza modifiche al codice, e quelle correzioni erano già uscite.

Il 4 novembre sono arrivate 8.1.11, 7.4.23, 6.4.50 e 5.4.56: chi aggiorna all’ultima versione è comunque coperto. La lezione resta: “l’avevo già chiusa” non basta, conta la versione installata.

Symfony, la correzione di CVE-2026-45070 non era mai uscita: aggiorna a 7.4.22 o 8.1.10

Fonti