CVE-2026-46637
CVE-2026-46637 · Twig: HTML-output filters in twig/* extras incorrectly declared `is_safe => ['all']`
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Twig is a template language for PHP. Prior to 3.26.0, several filters in twig/markdown-extra and twig/cssinliner-extra are registered with is_safe => [all], causing Twig to treat plain text or HTML output as safe in HTML, JavaScript, CSS, URL, and other contexts where the output is not properly escaped. This issue is fixed in version 3.26.0.
CVSS 5.1 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
twig
- Версии
- < 3.26.0: Затронуто
Нет опубликованного исправления
cssinliner-extra
- Версии
- < 3.26.0: Затронуто
Нет опубликованного исправления
markdown-extra
- Версии
- < 3.26.0: Затронуто
Нет опубликованного исправления
php-twig Debian:12
- Версии
- 3.5.1-1
- 3.5.1-1+deb12u1
- 3.5.1-1+deb12u2
- Затронутые диапазоны версий
- ECOSYSTEM: < 3.5.1-1+deb12u3
Обновитесь до 3.5.1-1+deb12u3
php-twig Debian:13
- Версии
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 3.27.0-0+deb13u1
Обновитесь до 3.27.0-0+deb13u1
php-twig Debian:14
- Версии
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 3.26.0-1
Обновитесь до 3.26.0-1
twig/markdown-extra Packagist
- Версии
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.11
- v2.14.2
- v2.14.3
- v2.14.5
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.4
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.1
- v3.3.3
- v3.3.4
- v3.3.5
- v3.3.8
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Затронутые диапазоны версий
- ECOSYSTEM: < 3.26.0
Обновитесь до 3.26.0
twig/cssinliner-extra Packagist
- Версии
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.2
- v2.14.3
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.3
- v3.3.4
- v3.3.5
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Затронутые диапазоны версий
- ECOSYSTEM: < 3.26.0
Обновитесь до 3.26.0
php-twig Ubuntu:Pro:20.04:LTS
- Версии
- 2.11.3-2
- 2.12.1-1
- 2.12.2-1
- 2.12.3-1
- 2.12.5-1
- 2.12.5-1ubuntu0.1~esm1
- 2.12.5-1ubuntu0.1~esm2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
php-twig Ubuntu:Pro:22.04:LTS
- Версии
- 3.3.2-1ubuntu3
- 3.3.4-1
- 3.3.6-1
- 3.3.7-1
- 3.3.8-2ubuntu4
- 3.3.8-2ubuntu4+esm1
- 3.3.8-2ubuntu4+esm2
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
php-twig Ubuntu:Pro:24.04:LTS
- Версии
- 3.7.0-1
- 3.7.1-1
- 3.8.0-2
- 3.8.0-2ubuntu0.1~esm1
- 3.8.0-2ubuntu1
- 3.8.0-2ubuntu1+esm1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
php-twig Ubuntu:25.10
- Версии
- 3.20.0-2ubuntu1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
php-twig Ubuntu:26.10
- Версии
- 3.23.0-2build7
- 3.27.1-1
- 3.28.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
php-twig Ubuntu:Pro:26.04:LTS
- Версии
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- 3.23.0-2ubuntu0.1~esm1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
Первоисточники
- https://github.com/twigphp/Twig/security/advisories/GHSA-jv8m-2544-3pg3
- https://github.com/twigphp/Twig/commit/84982072c79a7417b0d158a401d91344f3658299
- https://github.com/twigphp/Twig/commit/e36489d3521ecbfc08bdcc61294302557035f14a
- https://github.com/twigphp/Twig/releases/tag/v3.26.0
- https://nvd.nist.gov/vuln/detail/CVE-2026-46637