p PatchFirst

CVE-2026-46636

CVE-2026-46636 · Twig: Sandbox method allowlist bypass via `Markup` subclass

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Twig is a template language for PHP. From version 1.0.0 to before version 3.27.0, SecurityPolicy::checkMethodAllowed() unconditionally whitelists all method calls on instances of Twig\Markup. Twig\Markup is not final, so subclasses inherit the bypass. An application that passes an object of a Markup-derived class into a sandboxed template (typically to mark a chunk of HTML as safe) inadvertently exposes every public method of that subclass to template authors, regardless of the configured allowedMethods list. This issue has been patched in version 3.27.0.

CVSS 8.7 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • twig

    Версии
    • >= 1.0.0, < 3.27.0: Затронуто

    Нет опубликованного исправления

  • php-twig Debian:12

    Версии
    • 3.10.1-1
    • 3.10.3-1
    • 3.11.0-1
    • 3.13.0-1
    • 3.14.0-1
    • 3.14.0-2
    • 3.14.0-3
    • 3.14.0-4
    • 3.14.2-1
    • 3.14.2-2
    • 3.14.2-3
    • 3.15.0-1
    • 3.15.0-2
    • 3.17.1-1
    • 3.17.1-2
    • 3.18.0-1
    • 3.18.0-2
    • 3.18.0-4
    • 3.18.0-5
    • 3.18.0-6
    • 3.18.0-7
    • 3.19.0-1
    • 3.19.0-1~bootstrap
    • 3.20.0-1
    • 3.20.0-1~bootstrap
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    • 3.26.0-1
    • 3.27.0-1
    • 3.27.1-1
    • 3.28.0-1
    • 3.5.1-1
    • 3.5.1-1+deb12u1
    • 3.5.1-1+deb12u2
    • 3.5.1-1+deb12u3
    • 3.6.0-1
    • 3.6.1-1
    • 3.7.0-1
    • 3.7.1-1
    • 3.7.1-2
    • 3.7.1-3
    • 3.8.0-1
    • 3.8.0-2
    • 3.8.0-3
    • 3.8.0-4
    • 3.9.3-1
    • 4.0.0~alpha1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Debian:13

    Версии
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    • 3.26.0-0+deb13u1
    • 3.26.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.27.0-0+deb13u1

    Обновитесь до 3.27.0-0+deb13u1

  • php-twig Debian:14

    Версии
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    • 3.26.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.27.0-1

    Обновитесь до 3.27.0-1

  • php-twig Ubuntu:Pro:20.04:LTS

    Версии
    • 2.11.3-2
    • 2.12.1-1
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.5-1
    • 2.12.5-1ubuntu0.1~esm1
    • 2.12.5-1ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:Pro:22.04:LTS

    Версии
    • 3.3.2-1ubuntu3
    • 3.3.4-1
    • 3.3.6-1
    • 3.3.7-1
    • 3.3.8-2ubuntu4
    • 3.3.8-2ubuntu4+esm1
    • 3.3.8-2ubuntu4+esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:Pro:24.04:LTS

    Версии
    • 3.7.0-1
    • 3.7.1-1
    • 3.8.0-2
    • 3.8.0-2ubuntu0.1~esm1
    • 3.8.0-2ubuntu1
    • 3.8.0-2ubuntu1+esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:25.10

    Версии
    • 3.20.0-2ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:26.10

    Версии
    • 3.23.0-2build7
    • 3.27.1-1
    • 3.28.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-twig Ubuntu:Pro:26.04:LTS

    Версии
    • 3.20.0-2ubuntu1
    • 3.23.0-2build5
    • 3.23.0-2build7
    • 3.23.0-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →