属性名に「.」が含まれると書き込み可能とみなし、6.4以降は「[」も同様に扱ってPropertyAccessorへ渡していた。customer.adminのようなキーは、注文オブジェクトの顧客のadminへ入る。ネストしたクラスの#[Ignore]は、そのオブジェクトを直接デノーマライズするときしか見ない。#[Groups]自体は迂回されないが、コンテキストにグループが無いとパスは通り、グループによる制限も掛からない。
ルートにIgnoreもGroupsも無いと、ペイロードの全キーが許可される。公開メソッド名と一致するセグメントは、そのメソッドを攻撃者の値で呼ぶ。部分更新のOBJECT_TO_POPULATEでは、すでに組み立てたエンティティへ届き、変更が保存されうる。パス機能自体は、メタデータが宣言したパスを残すためのもので、宣言されていないパスだけが問題になる。
修正後は、クラスメタデータがその名前の属性を宣言しているパスだけを受け付ける。6.4以降は、書き込み可否のキャッシュを見る前に判定する。影響は5.4.41以降で5.4.56未満、6.4.9以降で6.4.50未満、7.0.9から7.1.0未満、7.1.2以降で7.4.23未満、8系で8.1.11未満である。