p PatchFirst

CVE-2026-24425

CVE-2026-24425 · Twig 2.16.x & 3.9.0-3.25.x Sandbox Bypass via SourcePolicyInterface

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Twig versions 2.16.x and 3.9.0 through 3.25.x contain a sandbox bypass vulnerability when using a SourcePolicyInterface that allows attackers with template rendering capabilities to pass arbitrary PHP callables to sort, filter, map, and reduce filters. Attackers can exploit the runtime check that fails to use the current template source to bypass sandbox restrictions and execute arbitrary code when the sandbox is enabled through a source policy rather than globally.

CVSS 8.7 · Высокий · EPSS 0,8% · Есть исправление

Опубликовано
Обновлено

Стек: system · php

Затронутые продукты и версии

  • twig

    Версии
    • ≥ 3.9.0, < 3.26.0: Затронуто (semver)
    • 2.16.*: Затронуто (custom)

    Обновитесь до 3.26.0

  • php-twig Debian:13

    Версии
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    • 3.26.0-0+deb13u1
    • 3.26.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.27.0-0+deb13u1

    Обновитесь до 3.27.0-0+deb13u1

  • php-twig Debian:14

    Версии
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.26.0-1

    Обновитесь до 3.26.0-1

  • twig/twig Packagist

    Версии
    • v2.16.0
    • v2.16.1
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 2.16.0, ≤ 2.16.1

    Нет опубликованного исправления

  • twig/twig Packagist

    Версии
    • v3.10.0
    • v3.10.1
    • v3.10.2
    • v3.10.3
    • v3.11.0
    • v3.11.1
    • v3.11.2
    • v3.11.3
    • v3.12.0
    • v3.13.0
    • v3.14.0
    • v3.14.1
    • v3.14.2
    • v3.15.0
    • v3.16.0
    • v3.17.0
    • v3.17.1
    • v3.18.0
    • v3.19.0
    • v3.20.0
    • v3.21.0
    • v3.21.1
    • v3.22.0
    • v3.22.1
    • v3.22.2
    • v3.23.0
    • v3.24.0
    • v3.25.0
    • v3.9.0
    • v3.9.1
    • v3.9.2
    • v3.9.3
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 3.9.0, < 3.26.0

    Обновитесь до 3.26.0

  • php-twig Ubuntu:25.10

    Версии
    • 3.20.0-2ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:Pro:26.04:LTS

    Версии
    • 3.20.0-2ubuntu1
    • 3.23.0-2build5
    • 3.23.0-2build7
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.23.0-2ubuntu0.1~esm1

    Обновитесь до 3.23.0-2ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →