P3 · Modérée · Symfony

Symfony : vulnérabilité

symfony/http-foundation : CVE-2026-108082: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header

P3Modérée

Cycle de mise à jour mensuel

Pourquoi ce niveau : Gravité pas encore publiée : à requalifier dès que l'éditeur ou la NVD la donne.

Gravité à qualifier

Ce qu'il faut faire

Vérifier si vous êtes concerné

Versions ou systèmes touchés :
>=5.4.1,<5.4.54|>=6.0.1,<6.1.0|>=6.1.0,<6.2.0|>=6.2.0,<6.3.0|>=6.3.0,<6.4.0|>=6.4.0,<6.4.46|>=7.0.0,<7.1.0|>=7.1.0,<7.2.0|>=7.2.0,<7.3.0|>=7.3.0,<7.4.0|>=7.4.0,<7.4.19|>=8.0.0,<8.1.0|>=8.1.0,<8.1.7
```
composer show "symfony/*"
php bin/console --version
```
Corriger

Versions corrigées : voir l'avis de l'éditeur (lien dans les sources).
Mettre à jour les composants Symfony concernés avec Composer, puis redéployer.
```
composer update "symfony/*" --with-all-dependencies
composer audit
```
En attendant le correctif

Désactiver la fonctionnalité concernée dans la configuration si possible.
Contrôler

composer audit ne doit plus signaler la faille.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

CVE-2026-108082: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header

Symfony

15 sept. 2026, 10:00 Packagist — avis de sécurité Composer symfony/http-foundation : CVE-2026-108082: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
15 sept. 2026, 10:00 Packagist — avis de sécurité Composer symfony/symfony : CVE-2026-108082: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header