CVE-2026-123746

Komponent HTTP Symfony Security AuthenticatorManager::authenticateUser() nie uruchamia metody checkPostAuth() modułu sprawdzania użytkowników zapory sieciowej, gdy użytkownik jest uwierzytelniany programowo, umożliwiając uwierzytelnienie konta odrzuconego przez niestandardowy moduł sprawdzania użytkowników, takiego jak konto wygasłe, w wersjach Symfony wcześniejszych niż 5.4.56, 6.x wcześniejszych niż 6.4.50, 7.x wcześniejszych 7.4.23 i 8.x przed 8.1.11.



AuthenticatorManager::authenticateUser() jest używany przez UserAuthenticatorInterface::authenticateUser() i Security::login() pakietu SecurityBundle do programowego uwierzytelniania użytkownika, ale nie wywołuje zdarzenia security.authentication.success, na którym działa checkPostAuth(). Poprawka dla CVE-2024-50341 spowodowała, że ​​Security::login() wywołało funkcję checkPreAuth(), ale funkcja checkPostAuth() była nadal pomijana. W rezultacie konto odrzucone przez niestandardową funkcję sprawdzania użytkowników w funkcji checkPostAuth() jest odrzucane przez formularz logowania i inne elementy uwierzytelniające zapory sieciowej, ale nadal może zostać uwierzytelnione programowo.



Narażone są aplikacje, które korzystają z niestandardowego modułu sprawdzania użytkowników, który odrzuca użytkowników w funkcji checkPostAuth() i programowo uwierzytelnia użytkowników, na przykład po zresetowaniu hasła lub linku weryfikacyjnym za pośrednictwem poczty e-mail. Użytkownik, którego konto zostało odrzucone, może następnie uzyskać uwierzytelnioną sesję za pośrednictwem tego przepływu. Domyślny moduł sprawdzania użytkowników nie robi nic w funkcji checkPostAuth(), więc nie ma to wpływu na domyślną konfigurację.



Poprawka powoduje, że AuthenticatorManager::authenticateUser() wysyła zdarzenie security.authentication.success po utworzeniu tokena, a przed jego zapisaniem, podobnie jak ma to miejsce w przypadku uwierzytelniania przez zaporę sieciową, dzięki czemu checkPostAuth() działa i może odrzucić użytkownika.