CVE-2026-46633 in Twig
要約
〜によって VulDB • 2026年07月14日
TwigはPHP用のテンプレート言語です。バージョン3.26.0より前では、Compiler::string()メソッドは、{% use %}タグから取得したテンプレート名がPHPのシングルクォートで囲まれた文字列リテラル内に配置された場合、シングルクォートをエスケープしません。これにより、悪意のあるテンプレート名によって文字列を終了させ、コンパイル済みのキャッシュファイルに任意のPHP式を注入することが可能になります。この問題はバージョン3.26.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.