Nicolas Grekas

**Nome do software vulnerável e versões afetadas** Versões 1.x do Twig anteriores à 1.44.7 Versões 2.x do Twig anteriores à 2.15.3 Versões 3.x do Twig anteriores à 3.4.3 **Descrição** O problema ocorre quando o carregador do sistema de arquivos carrega modelos cujo nome é fornecido pelo usuário. É possível usar a instrução `source` ou `include` para ler arquivos arbitrários de fora do diretório dos modelos ao usar um namespace como `@somewhere/../some.file`. Nesse caso, a validação é contornada. **Recomendações** Para versões 1.x anteriores à 1.44.7, atualize para a versão 1.44.7 ou posterior. Para versões 2.x anteriores à 2.15.3, atualize para a versão 2.15.3 ou posterior. Para versões 3.x anteriores à 3.4.3, atualize para a versão 3.4.3 ou posterior. Como solução temporária, considere restringir o uso das instruções `source` e `include` com nomes de modelos inseridos pelo usuário até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** Symfony versions prior to 2.7.51 Symfony versions 2.8.x prior to 2.8.50 Symfony versions 3.x prior to 3.4.26 Symfony versions 4.x prior to 4.1.12 Symfony versions 4.2.x prior to 4.2.7 **Description** The issue is related to the symfony/dependency-injection component and occurs when service ids allow user input. This could allow for SQL Injection and remote code execution due to a lack of protection measures for SQL query structures. **Recommendations** For Symfony versions prior to 2.7.51, update to version 2.7.51 or later. For Symfony versions 2.8.x prior to 2.8.50, update to version 2.8.50 or later. For Symfony versions 3.x prior to 3.4.26, update to version 3.4.26 or later. For Symfony versions 4.x prior to 4.1.12, update to version 4.1.12 or later. For Symfony versions 4.2.x prior to 4.2.7, update to version 4.2.7 or later.