CVE-2026-123746 in Symfony
Riassunto
di VulDB • 06/11/2026
Il componente HTTP Security di Symfony AuthenticatorManager::authenticateUser() non esegue il metodo checkPostAuth() del checker utente del firewall quando un utente viene autenticato in modo programmatico, consentendo l'autenticazione di un account rifiutato da un custom user checker (ad esempio un account scaduto) nelle versioni di Symfony precedenti alla 5.4.56, alle serie 6.x prima della 6.4.50, alle serie 7.x prima della 7.4.23 e alle serie 8.x prima dell'8.1.11.
AuthenticatorManager::authenticateUser() è utilizzato da UserAuthenticatorInterface::authenticateUser() e da Security::login() del SecurityBundle per autenticare un utente in modo programmatico, ma non invia l'evento security.authentication.success, sul quale viene eseguito checkPostAuth(). La correzione per CVE-2024-50341 ha fatto sì che Security::login() chiamasse checkPreAuth(), ma checkPostAuth() è stato comunque saltato. Di conseguenza, un account rifiutato da un custom user checker in checkPostAuth() viene bloccato dal login tramite form e dagli altri authenticator del firewall, ma può ancora essere autenticato programmaticamente.
Le applicazioni sono interessate quando utilizzano un custom user checker che rifiuta gli utenti in checkPostAuth() ed esegue l'autenticazione degli utenti in modo programmatico, ad esempio dopo una reimpostazione della password o tramite un link di verifica dell'e-mail. Un utente il cui account viene rifiutato può quindi ottenere una sessione autenticata attraverso tale flusso. Il default user checker non fa nulla in checkPostAuth(), pertanto la configurazione predefinita non è interessata.
La correzione fa sì che AuthenticatorManager::authenticateUser() invii l'evento security.authentication.success una volta creato il token e prima del suo salvataggio, come avviene per le autenticazioni attraverso il firewall, in modo che checkPostAuth() venga eseguito e possa rifiutare l'utente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.