CVE-2026-46633
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność w silniku szablonów Twig dla PHP przed wersją 3.26.0. Funkcja Compiler::string() nie escapuje apostrofów, gdy nazwa szablonu z tagu {% use %} jest umieszczana w literale łańcuchowym PHP, co pozwala na wstrzyknięcie dowolnego kodu PHP do skompilowanego pliku cache.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu (RCE) na serwerze, co prowadzi do pełnej kompromitacji aplikacji i potencjalnie całego systemu.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Twig do wersji 3.26.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać używania dynamicznych nazw szablonów w tagu {% use %}.
Oryginalny opis (angielski, źródło NVD)
Twig is a template language for PHP. Prior to 3.26.0, Compiler::string() does not escape single quotes when a template name from a {% use %} tag is placed inside a PHP single-quoted string literal, allowing a crafted template name to terminate the string and inject arbitrary PHP expressions into the compiled cache file. This issue is fixed in version 3.26.0.