CVE-2026-54164

API Platform Core hipermedia əsaslı REST və GraphQL API-ləri yaratmaq üçün sistemdir. 4.1.30, 4.2.26 və 4.3.12 versiyalarından əvvəlki versiyalarda serializer-in AbstractItemNormalizer komponenti əlaqə IRI-lərinin həlli zamanı qaytarılan resurs növünü yoxlamır və bununla da növ qarışıqlığına (type confusion) yol verir; nəticədə nəzərdə tutulmayan növə aid resurs səssizcə əlaqə xassəsinə təyin edilə bilər. Yazma sorğuları (POST/PUT/PATCH) göndərə bilən və yazıla bilən əlaqələri olan API Platform endpoint-inə müraciət edə bilən hücumçu, əlaqənin elan edilmiş sinfindən fərqli növə aid resursa işarə edən əlaqə IRI-si təqdim edə bilər. getResourceFromIri() funksiyası IriConverter::getResourceFromIri() metoduna $operation ötürmədiyi üçün IriConverter.php:86 sətrindəki is_a növ yoxlaması (type guard) atlanır. Tipsiz əlaqə xassələri üçün (köhnə yalnız @var üslubu) səhv tipli obyekt səssizcə təyin edilir, invariantlar pozulur və elan edilmiş növü fərz edən aşağı axın məntiqinə potensial olaraq ötürülür (CWE-843). Tipsizləşdirilmiş xassələr üçün (müasir PHP 8.x) əvəzetmə Symfony-nin PropertyAccessor komponenti tərəfindən InvalidTypeException ilə bloklanır. Bu problem 4.1.30, 4.2.26 və 4.3.12 versiyalarında düzəldilmişdir.