Symfony a publié la version de maintenance 6.4.46. Fabien Potencier a tagué cette version le 15 septembre. Le changelog publié pour v6.4.46 recense environ 60 pull requests fusionnées depuis 6.4.45.

Plusieurs correctifs touchent des chemins de code liés à la sécurité. Le composant Security ne suit plus les redirections sur l'endpoint OIDC UserInfo et lit désormais les claims OIDC verified comme des booléens. L'intégration Sendgrid du Mailer vérifie la signature du webhook avant d'analyser la charge utile, le bridge Vonage du Notifier contrôle le claim payload_hash des webhooks signés, et le parseur de webhooks Twilio rejette un secret vide. Le composant Mime refuse les noms d'en-têtes contenant des caractères non imprimables ou non ASCII et n'émet jamais de caractères de contrôle bruts dans les en-têtes. Un corps de requête Webhook malformé renvoie désormais un statut 406 au lieu de 500.

HttpFoundation a reçu plusieurs corrections : HeaderUtils::split() ne provoque plus de backtracking sur les entrées ambiguës, IpUtils::anonymize() gère les adresses IPv4 mappées non canoniques, et la correspondance de chemins utilise le modificateur DOTALL. Messenger abandonne les messages mis en file par un dispatch imbriqué échoué, respecte les délais inférieurs à la seconde dans le transport en mémoire et ne plante plus sur les entrées de stream Redis qui ne sont pas des objets JSON.

Le composant Finder corrige la gestion des gitignore, les filtres prune dans les répertoires imbriqués et ignoreVCSIgnored() via les liens symboliques. La complétion Console pour bash et zsh a été renforcée, avec notamment un correctif qui empêche la complétion zsh d'évaluer la ligne de commande. Cache prend désormais en charge Relay 0.50 et évite de fermer des handles de verrou encore utilisés. Les traductions du Validator ont été revues ou complétées pour le roumain, le hongrois, le catalan, l'arabe, le chinois traditionnel, l'italien et le bosniaque.