Vincent Cassiau

O componente Symfony Security HTTP possui um problema onde a função `authenticateUser()` no `AuthenticatorManager` não executa o método `checkPostAuth()` do verificador de usuário do firewall durante a autenticação programática. Isso ocorre porque `authenticateUser()` — que é utilizado por `UserAuthenticatorInterface::authenticateUser()` e `Security::login()` — não dispara o evento `security.authentication.success` necessário para a execução do `checkPostAuth()`. Consequentemente, usuários com contas que deveriam ser rejeitadas por um verificador de usuário personalizado (como contas expiradas) ainda podem obter uma sessão autenticada se forem autenticados programaticamente, como em links de verificação de e-mail ou redefinições de senha, embora fossem bloqueados por logins de formulário padrão.

Nos componentes de Roteamento do Symfony, `CompiledUrlMatcher` e `UrlMatcher` interpretam as informações de host e caminho de forma diferente. Para rotas que definem um host, o `CompiledUrlMatcher` correlaciona a string combinada de `$host`, `.`, e `$pathinfo` contra as expressões regulares de host e caminho, enquanto o `UrlMatcher` as processa separadamente. Essa discrepância permite que um marcador de posição de host corresponda a um caractere `/` e consuma o início do caminho, direcionando a requisição para um controlador que o `UrlMatcher` não encontraria. Consequentemente, regras de autorização baseadas em caminho, como entradas de `access control` e padrões de firewall, são avaliadas em relação ao caminho real da requisição e podem não ser aplicadas, potencialmente permitindo que requisições não autenticadas alcancem controladores protegidos. Este problema afeta aplicações que possuem rotas com marcadores de posição de host protegidos por regras baseadas em caminho.

Usuários autenticados com nível de acesso de assinante ou superior podem divulgar o título e o conteúdo de entradas não públicas, incluindo dados pessoais. Isso ocorre porque o plugin não realiza verificações de autorização de nível de objeto ou tipo de postagem em uma de suas ferramentas de pesquisa devido à ausência de uma verificação de capacidade em uma função.