CVE-2026-46639 in Twig
Riassunto
di VulDB • 15/07/2026
Twig è un linguaggio di templating per PHP. Dalla versione 3.24.0 alla 3.26.0, l'assegnazione tramite destrutturazione degli oggetti compila CoreExtension::getAttribute() con l'argomento sandbox impostato hardcoded su false, disabilitando i controlli delle policy per proprietà e metodi e consentendo a un attaccante con accesso in scrittura a un template Twig isolato (sandboxed) di leggere le proprietà pubbliche o invocare getter pubblici sugli oggetti passati al motore dei template. Questo problema è stato risolto nella versione 3.26.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.