ObjectNormalizer peut interpréter des noms d’attribut contenant un point, ou un crochet à partir de Symfony 6.4, comme des chemins vers des propriétés imbriquées. Des données non fiables peuvent ainsi modifier des objets imbriqués et contourner leur métadonnée #[Ignore] dans les configurations concernées.
Source : NVD — CVE-2026-122053
Analyse technique
Le chemin est transmis à PropertyAccessor, qui peut parcourir l'objet imbriqué et, selon le segment, appeler une méthode publique. La faille concerne notamment les contrôleurs utilisant MapRequestPayload ou MapQueryString; le contournement des groupes n'est pas indiqué, et le correctif n'accepte le chemin que si les métadonnées de classe déclarent cet attribut exact.
Impact, versions et correctif
Détection / vérification
Examiner les usages de ObjectNormalizer et les données non fiables affectant des objets imbriqués, notamment avec MapRequestPayload, MapQueryString ou OBJECT_TO_POPULATE.
Action recommandée
Mettre à niveau vers une version corrigée et vérifier les points d'entrée qui lient des données non fiables à des objets.
Sources
Priorisation DFS : P4 · 1 source(s).