CVE-2026-45069

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 6.4

Description O componente OidcTokenHandler, utilizado para o processamento de tokens de acesso OpenID Connect, falha ao validar adequadamente as reivindicações (claims) obrigatórias em JWTs bearer. Embora registre verificadores para audiência (aud), emissor (iss) e expiração (exp), ele não passa o argumento $mandatoryClaims para a função ClaimCheckerManager::check(). Consequentemente, o sistema valida apenas as reivindicações presentes no token e ignora silenciosamente aquelas que estão ausentes. Isso permite que um JWT assinado validamente que omita as reivindicações aud, iss e exp passe na verificação.

Recommendations Atualize para a versão 6.4 ou posterior.