Nome do software vulnerável e versões afetadas:

Versões do Symfony anteriores à 2.0.6

Descrição:

A vulnerabilidade permite que um usuário mude para a conta de outro usuário alterando seu nome de usuário em um formulário para um nome de usuário existente, resultando em um erro de validação, mas modificando o objeto de usuário na sessão para o novo nome de usuário. Isso é possível ao usar o Doctrine como provedor de usuários e permitir que os usuários atualizem seu login/nome de usuário a partir de um formulário. O problema surge porque o objeto de usuário na sessão é atualizado com base no nome de usuário, que pode ser alterado. A correção envolve atualizar o usuário por meio da chave primária, em vez do nome de usuário.

Recomendações:

Para versões anteriores à 2.0.6, atualize para o Symfony 2.0.6 o mais rápido possível para corrigir a vulnerabilidade de segurança.

Como solução temporária, considere aplicar o patch fornecido para impedir que os usuários mudem para outras contas, modificando o objeto de usuário na sessão com base na chave primária, em vez do nome de usuário.