O componente Symfony Serializer possui um problema onde o `DataUriNormalizer` lida apenas com tipos específicos, fazendo com que o `ObjectNormalizer` instancie subclasses como `UploadedFile` usando dados controlados por um invasor através do construtor. Isso permite que um arquivo arbitrário no servidor seja tratado como um arquivo enviado. Um invasor pode enviar um corpo de requisição contendo a variável `path` para apontar para arquivos sensíveis, como `.env.local`. Ao definir a variável `test` como `true`, a função `UploadedFile::isValid()` ignora a verificação `is uploaded file()` e a função `move()` retorna para `rename()`. Isso pode levar à exposição de qualquer arquivo legível pelo PHP, à movimentação não autorizada de arquivos ou à confirmação da existência de um arquivo no servidor. O problema afeta qualquer código que desserialize dados não confiáveis em um tipo com tal propriedade, incluindo o uso de `#[MapRequestPayload]` em um DTO com uma propriedade `UploadedFile`.