La désérialisation de données contrôlées par un attaquant peut faire traiter un fichier local comme un fichier téléversé lorsque la propriété visée utilise notamment un type dérivé tel que UploadedFile. Selon le traitement ultérieur du fichier, cela peut exposer ou déplacer des fichiers accessibles au processus PHP.
Source : NVD — CVE-2026-118515
Analyse technique
Le DataUriNormalizer ne reconnaît que certains types exacts; l’ObjectNormalizer peut alors instancier une sous-classe à partir de données fournies par l’attaquant, notamment un chemin de fichier. Le correctif ne protège pas un sérialiseur configuré sans DataUriNormalizer avant l’ObjectNormalizer.
Impact, versions et correctif
Détection / vérification
Rechercher la désérialisation de données non fiables vers des DTO ou objets comportant des propriétés de type UploadedFile ou autre sous-classe concernée.
Action recommandée
Mettre à niveau Symfony vers une version corrigée et vérifier la configuration des sérialiseurs qui désérialisent des données non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).