PT-2026-42168 · Twig · Twig

Fabien Potencier + 2 · Publicado 2026-05-20 · Atualizado 2026-06-08 · CVE-2026-24425

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Twig versões 2.16.x Twig versões 3.9.0 até 3.25.x

Description Existe uma falha de bypass de sandbox ao utilizar a SourcePolicyInterface. Isso ocorre porque uma verificação de tempo de execução falha ao usar a fonte do template atual, permitindo que atacantes com capacidades de renderização de templates passem callables PHP arbitrários para os filtros sort, filter, map e reduce. Isso pode levar à execução de código arbitrário quando o sandbox é habilitado por meio de uma política de fonte em vez de globalmente.

Recommendations Atualizar as versões 2.16.x do Twig para uma versão mais recente que contenha a correção. Atualizar as versões 3.9.0 até 3.25.x do Twig para uma versão mais recente que contenha a correção.

Exploit

Correção

Protection Mechanism Failure

Enumeração de Fraquezas

CWE-693

Identificadores relacionados

CVE-2026-24425

GHSA-2Q52-X2FF-QGFR

USN-8408-1

Produtos afetados

Twig

Referências · 21

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/twig/twig/CVE-2026-24425.yaml · Exploit
• https://github.com/twigphp/Twig/releases/tag/v3.26.0 · Nota
• https://github.com/twigphp/Twig/security/advisories/GHSA-2q52-x2ff-qgfr · Aviso do Fabricante
• https://github.com/twigphp/Twig · Nota
• https://vulncheck.com/advisories/twig-x-x-sandbox-bypass-via-sourcepolicyinterface · Nota
• https://cve.org/CVERecord?id=CVE-2026-24425 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1ty4ggl/resumen_diario_de_vulnerabilidades_06062026 · Publicação no Reddit
• https://symfony.com/cve-2026-24425 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-24425 · Aviso do Fabricante
• https://twitter.com/symfony/status/2057046272687698018 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-24425 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2q52-x2ff-qgfr · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-8408-1 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-24425 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-24425 · Aviso do Fabricante