PT-2026-42173 · Twig · Twig
Publicado
2026-05-20
·
Atualizado
2026-06-07
·
CVE-2026-46633
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Twig (versões afetadas não especificadas)
Descrição
A função
Compiler::string() não escapa aspas simples ao gerar literais de string de aspas duplas do PHP. Em ModuleNode::compileConstructor(), os nomes de templates de uma tag {% use %} são processados via subcompile() e string(), e então colocados dentro de um literal de string de aspas simples do PHP. Um nome de template contendo uma aspa simples pode encerrar a string prematuramente, permitindo a injeção de expressões PHP arbitrárias no arquivo de cache compilado. Isso leva à execução remota de código dentro do processo PHP quando o arquivo de cache é carregado, ignorando completamente o sandbox do Twig, pois a SecurityPolicy permite a tag {% use %} independentemente da configuração de allowedTags.Recomendações
Atualize para a versão onde a função
Compiler::string() escapa aspas simples para evitar que nomes de templates quebrem o contexto dos literais PHP circundantes.Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Twig