CVE-2026-122053

Nome do Software Vulnerável e Versões Afetadas Symfony versões 5.4.41 até 5.4.55 Symfony versões 6.4.9 até 6.4.49 Symfony versão 7.0.9 Symfony versões 7.1.2 até 7.4.22 Symfony versões 8.x até 8.1.10

Description O componente Symfony Serializer ObjectNormalizer trata incorretamente nomes de atributos que contenham . (e [ a partir da versão 6.4) como caminhos de propriedade graváveis. Isso permite que entradas não confiáveis modifiquem propriedades de objetos aninhados, ignorando o atributo de metadados #[Ignore]. O problema ocorre porque ObjectNormalizer::isAllowedAttribute() aceita esses nomes e setAttributeValue() os envia para PropertyAccessor::setValue(), que os analisa como um caminho de propriedade para percorrer objetos aninhados. Por exemplo, uma chave de payload como customer.admin pode escrever em $order->customer->admin. Além disso, como o PropertyAccessor também resolve segmentos de caminho em relação a métodos públicos, um segmento que corresponda ao nome de um método público pode invocar esse método com um valor fornecido pelo invasor. Isso afeta aplicações que vinculam entradas não confiáveis a objetos, incluindo controladores que usam #[MapRequestPayload] ou #[MapQueryString]. Com o uso de OBJECT TO POPULATE para atualizações parciais, a travessia pode alcançar um grafo de entidades já hidratado, e o campo modificado pode ser persistido.

Recommendations Atualizar as versões do Symfony 5.4.41 até 5.4.55 para a versão 5.4.56. Atualizar as versões do Symfony 6.4.9 até 6.4.49 para a versão 6.4.50. Atualizar a versão do Symfony 7.0.9 para a versão 7.1.0. Atualizar as versões do Symfony 7.1.2 até 7.4.22 para a versão 7.4.23. Atualizar as versões do Symfony 8.x até 8.1.10 para a versão 8.1.11.