Към съдържанието
Търсене

CVE-2026-24425: twigphp Twig, логическа грешка

8.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Twig versions 2.16.x and 3.9.0 through 3.25.x contain a sandbox bypass vulnerability when using a SourcePolicyInterface that allows attackers with template rendering capabilities to pass arbitrary PHP callables to sort, filter, map, and reduce filters. Attackers can exploit the runtime check that fails to use the current template source to bypass sandbox restrictions and execute arbitrary code when the sandbox is enabled through a source policy rather than globally.

Засегнати продукти

  • twigphp Twig: 3.9.0 преди 3.26.0; 2.16.*

Вид слабост

История

  • 20 май 2026 Публикувано

Други уязвимости в twigphp Twig

Първоизточници

CVE-2026-24425: twigphp Twig, логическа грешка | freedomonline.bg