Vulnerabilidad en Symfony (CVE-2023-46733)

Symfony es un framework PHP para aplicaciones web y de consola y un conjunto de componentes PHP reutilizables. A partir de las versiones 5.4.21 y 6.2.7 y anteriores a las versiones 5.4.31 y 6.3.8, `SessionStrategyListener` no migra la sesión después de cada inicio de sesión exitoso. Lo hace sólo en caso de que el usuario que ha iniciado sesión cambie mediante la verificación del identificador de usuario. En algunos casos de uso, el identificador de usuario no cambia entre la fase de verificación y el inicio de sesión exitoso, mientras que el token en sí cambia de un tipo (parcialmente autenticado) a otro (totalmente autenticado). Cuando esto sucede, se debe regenerar la identificación de la sesión para evitar posibles arreglos de sesión, lo cual no es el caso en este momento. A partir de las versiones 5.4.31 y 6.3.8, Symfony ahora verifica el tipo de token además del identificador de usuario antes de decidir si se debe regenerar la identificación de la sesión.