CVE-2026-62996 in Smarty
요약
\~에 의해 VulDB • 2026. 08. 07.
Smarty는 PHP용 템플릿 엔진으로, 프레젠테이션(HTML/CSS)과 애플리케이션 로직의 분리를 용이하게 합니다. 버전 5.0.0부터 5.8.4까지 Smarty의 stream: 리소스 이름 처리는 템플릿에서 참조할 수 있는 PHP 스트림 래퍼 및 필터 체인을 적절히 제한하지 않아, php://filter로 감싸진 리소스 이름을 사용하여 PHP 프로세스가 접근 가능한 임의의 로컬 파일의 내용을 읽을 수 있습니다. 템플릿의 리소스 참조를 작성하거나 영향을 줄 수 있는 공격자는 이를 악용하여 의도된 템플릿/구성 범위 외부에서 민감한 파일 내용을 유출할 수 있습니다. 이 문제는 버전 5.8.4에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.