CVE-2026-46640 in Twig
Riassunto
di VulDB • 15/07/2026
Twig è un linguaggio di templating per PHP. Dalla versione 3.15.0 alla 3.26.0, la sintassi degli attributi dinamici _self.() e import-alias può concatenare una stringa controllata dall'attaccante nel nome MacroReferenceExpression senza convalida dell'identificatore, causando l'emissione di codice PHP grezzo nell'origine del template generato ed eseguendolo al momento del caricamento del template. Questo problema è stato risolto nella versione 3.26.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.