遠端 Debian 13 主機已安裝的套件會受到 dsa-6312 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6312-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：symfony CVE ID： CVE-2024-50340 CVE-2026-45063 CVE-2026-45064 CVE-2026-45065 CVE-2026-45066 CVE-2026-45067 CVE-2026-45068 CVE-2026-45069 CVE-2026-45071 CVE-2026-45072 CVE-2026-45073 CVE-2026-45077 CVE-2026-45133 CVE-2026-45304 CVE-2026-45305 CVE-2026-45754 CVE-2026-46626 CVE-2026-48489 CVE-2026-48736 CVE-2026-48760 CVE-2026-48761 CVE-2026-48784

    在 Symfony PHP 框架中發現多個漏洞，這些漏洞可能導致繞過安全控制、跨站腳本、拒絕服務、SQL 插入、電子郵件標頭插入、資訊洩露或透過 PHP 物件反序列化執行程式碼。

    對於穩定版 （trixie），這些問題已在 +dfsg-0+deb13u1 版 6.4.41中修正。

    建議您升級 symfony 套件。

    如需有關 symfony 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/symfony

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Symfony 和/或 Symfony HTML 清理器元件的版本早6.1.x6.4.40於 之前 7.4.127.0.x 之前 ， 8.0.x8.0.12因此受到多個漏洞的影響：

  - Symfony 元件 HtmlSanitizer 的 UrlSanitizer 中存在視覺欺騙弱點，因為無法從 URL 中剝離 Unicode BiDi（雙向）格式字元。未經身份驗證的遠端攻擊者可以透過在清理內容中包含方向覆寫字元的特製 URL 來利用這一點，顯示視覺上與實際目的地不同的誤導性連結文本，從而對查看已清理的 HTML 的使用者進行網路釣魚攻擊。（CVE-2026-45064）

  - 由於 RFC-3986（伺服器端）和 WHATWG URL 標準（瀏覽器端）之間的剖析差異，以及標籤的元素類型檢查不正確，Symfony 元件 HtmlSanitizer 的 allowLinkHosts/allowLinkSchemes 和 allowMediaHosts/allowMediaSchemes 配置方法中存在允許清單繞過弱點。未經驗證的遠端攻擊者可以透過使用反斜線/斜線正規化差異或錯誤分類元素的特製 URL 來利用這一點，繞過主機和配置允許清單，並將惡意的非允許清單 URL 插入清理內容中。（CVE-2026-45066）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。另請注意，此 plugin 不會區分透過 OS 套件管理員安裝的 PHP 套件、透過 Composer 或其他來源安裝的 PHP 套件。因此，您的 OS 套件存放庫所提供的套件可能具有反向移植的修正，此 plugin 可能誤將其報告為有弱點。請參閱作業系統特定的外掛程式，CVE-2026-45064CVE-2026-45066以檢查反向移植的修正。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Symfony 是適用於 Web 和主控台應用程式的 PHP 架構，是一組可重複使用的 PHP 元件。從 6.1.0-BETA1 到 6.4.40、 7.4.12和 8.0.12，HtmlSanitizer URL 清理可以透過 allowLinkHosts（） 或 allowMediaHosts（） 允許不允許清單的 URL，因為 UrlSanitizer：:p arse（） 遵循 RFC 3986，而瀏覽器遵循 WHATWG URL 剖析，並且因為 <area href> 會根據媒體原則而不是連結原則進行檢查。此問題已在 、 7.4.12和 8.0.12版本中6.4.40修正。（CVE-2026-45066）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
318121	Debian dsa-6312 ： php-symfony - 安全性更新	Nessus	Debian Local Security Checks	2026/6/1	2026/9/18	critical
318792	Symfony和Symfony HTML 清理器元件 6.1.x < 6.4.40 / 7.0.x < 7.4.12 / 8.0.x 8.0.12 多個漏洞	Nessus	Misc.	2026/6/5	2026/9/22	low
316433	Linux Distros 未修補弱點：CVE-2026-45066	Nessus	Misc.	2026/5/22	2026/7/16	low

偵測

搜尋 Plugin

critical

low

low