يحتوي مكون Symfony Serializer على مشكلة حيث يتعامل `DataUriNormalizer` مع أنواع محددة فقط، مما يؤدي إلى قيام `ObjectNormalizer` بإنشاء فئات فرعية مثل `UploadedFile` باستخدام بيانات يتحكم فيها المهاجم عبر المشيد (constructor). يسمح هذا بمعاملة أي ملف عشوائي على الخادم كملف تم رفعه. يمكن للمهاجم إرسال جسم طلب يحتوي على متغير `path` للإشارة إلى ملفات حساسة، مثل `.env.local`. ومن خلال تعيين متغير `test` إلى `true` ، تتخطى الدالة `UploadedFile::isValid()` فحص `is uploaded file()` وتعود الدالة `move()` إلى استخدام `rename()`. يمكن أن يؤدي ذلك إلى كشف أي ملف يمكن لـ PHP قراءته، أو نقل الملفات بشكل غير مصرح به، أو التأكد من وجود مسار ملف على الخادم. تؤثر هذه المشكلة على أي كود يقوم بإلغاء تسلسل بيانات غير موثوقة في نوع يحتوي على مثل هذه الخاصية، بما في ذلك استخدام `#[MapRequestPayload]` في DTO يحتوي على خاصية `UploadedFile`.