CVE-2026-48489

Nome do Software Vulnerável e Versões Afetadas Symfony versões anteriores a 5.4.21

Description Quando um firewall é configurado com form-login (ou qualquer autenticador que utilize DefaultAuthenticationFailureHandler) e a opção failure forward: true, o manipulador lê o parâmetro failure path da solicitação de login malsucedida e o utiliza como o caminho de uma subsolicitação interna despachada através de HttpKernelInterface::SUB REQUEST. Como o listener Firewall::onKernelRequest ignora subsolicitações, o AccessListener (que avalia o access control) não é executado. Um invasor não autenticado pode usar uma solicitação POST para o caminho de verificação com um parâmetro failure path manipulado para realizar uma falsificação de solicitação local, executando controladores de destino fora do perímetro do firewall e acessando endpoints GET de leitura protegidos, como áreas administrativas, sem autenticação.

Recommendations Atualize para a versão 5.4.21 ou posterior. Como medida paliativa temporária, desative a opção failure forward ou restrinja o uso do parâmetro failure path em solicitações de login.