Symfony hat die Maintenance-Version 6.4.46 veröffentlicht. Fabien Potencier hat das Release am 15. September getaggt. Das veröffentlichte Changelog für v6.4.46 listet rund 60 gemergte Pull Requests gegenüber 6.4.45.

Mehrere Fixes betreffen sicherheitsrelevante Codepfade. Die Security-Komponente folgt Redirects auf dem OIDC-UserInfo-Endpoint nicht mehr und liest OIDC-Verified-Claims nun als Booleans. Die Sendgrid-Integration des Mailers verifiziert die Webhook-Signatur vor dem Parsen des Payloads, die Vonage-Notifier-Bridge prüft den payload_hash-Claim signierter Webhooks, und der Twilio-Webhook-Parser weist ein leeres Secret zurück. Die Mime-Komponente lehnt Header-Namen mit nicht druckbaren oder nicht-ASCII-Zeichen ab und gibt keine rohen Steuerzeichen in Headern aus. Ein fehlerhafter Webhook-Request-Body liefert nun den Status 406 statt 500.

HttpFoundation erhielt mehrere Korrekturen: HeaderUtils::split() backtrackt bei mehrdeutigen Eingaben nicht mehr, IpUtils::anonymize() behandelt nicht-kanonische IPv4-mapped-Adressen, und das Pfad-Matching nutzt den DOTALL-Modifier. Messenger verwirft Nachrichten aus einem fehlgeschlagenen verschachtelten Dispatch, berücksichtigt Sub-Sekunden-Delays im In-Memory-Transport und stürzt bei Redis-Stream-Einträgen, die keine JSON-Objekte sind, nicht mehr ab.

Die Finder-Komponente bekam Fixes für die Gitignore-Behandlung, Prune-Filter in verschachtelten Verzeichnissen und ignoreVCSIgnored() über Symlinks. Die Console-Completion für Bash und Zsh wurde gehärtet, darunter ein Fix, der verhindert, dass die Zsh-Completion die Kommandozeile auswertet. Cache unterstützt nun Relay 0.50 und schließt keine Lock-Handles mehr, die noch in Benutzung sind. Validator-Übersetzungen wurden für Rumänisch, Ungarisch, Katalanisch, Arabisch, traditionelles Chinesisch, Italienisch und Bosnisch überarbeitet oder vervollständigt.