Symfony Security : contrôle post-authentification omis lors de connexions programmatiques

Veille sécuritéBackend & données

P4Faible

L’authentification programmatique pouvait ignorer le contrôle checkPostAuth() d’un user checker personnalisé, permettant à un utilisateur normalement rejeté d’obtenir une session authentifiée. Le défaut concerne les applications réunissant ces deux conditions; le user checker par défaut n’est pas concerné.

IdentifiantCVE-2026-123746

GravitéFaible

Exploitationnon connue / non déterminée

Correctif5.4.56; 6.4.50; 7.4.23; 8.1.11

Source : NVD — CVE-2026-123746

Analyse technique

AuthenticatorManager::authenticateUser() ne déclenchait pas l’événement security.authentication.success, qui exécute checkPostAuth().

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-06 à 13:17:29.950Z, dans la période demandée. La mise à jour NVD du même jour n’est pas retenue comme événement distinct.

ImpactUn compte rejeté par un contrôle post-authentification personnalisé peut obtenir une session par un flux de connexion programmatique.

Versions affectéesVersions antérieures à 5.4.56, 6.4.50, 7.4.23 et 8.1.11

Version corrigée5.4.56; 6.4.50; 7.4.23; 8.1.11

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.3

Publication2026-11-06T13:17:29.950Z

Mise à jour2026-11-06T21:40:43.450Z

Détection / vérification

Vérifier si l’application utilise un user checker personnalisé qui rejette des comptes dans checkPostAuth() et si elle authentifie des utilisateurs par programmation.

Action recommandée

Mettre à jour vers une version corrigée; vérifier en priorité les connexions programmatiques et les user checkers personnalisés.

Sources

NVD — CVE-2026-123746

Priorisation DFS : P4 · 1 source(s).