CVE-2026-123746

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.56 Symfony versões 6.x anteriores a 6.4.50 Symfony versões 7.x anteriores a 7.4.23 Symfony versões 8.x anteriores a 8.1.11

Description O componente Symfony Security HTTP possui um problema onde a função authenticateUser() no AuthenticatorManager não executa o método checkPostAuth() do verificador de usuário do firewall durante a autenticação programática. Isso ocorre porque authenticateUser() — que é utilizado por UserAuthenticatorInterface::authenticateUser() e Security::login() — não dispara o evento security.authentication.success necessário para a execução do checkPostAuth(). Consequentemente, usuários com contas que deveriam ser rejeitadas por um verificador de usuário personalizado (como contas expiradas) ainda podem obter uma sessão autenticada se forem autenticados programaticamente, como em links de verificação de e-mail ou redefinições de senha, embora fossem bloqueados por logins de formulário padrão.

Recommendations Atualizar para a versão 5.4.56 ou posterior. Atualizar para a versão 6.4.50 ou posterior. Atualizar para a versão 7.4.23 ou posterior. Atualizar para a versão 8.1.11 ou posterior.