CVE-2026-24425 in Twig
Sumário
de VulDB • 20/05/2026
As versões do Twig 2.16.x e 3.9.0 até 3.25.x contêm uma vulnerabilidade de bypass da sandbox ao utilizar uma SourcePolicyInterface, o que permite que atacantes com capacidades de renderização de templates passem callables PHP arbitrários para os filtros sort, filter, map e reduce. Os atacantes podem explorar a verificação em tempo de execução que falha ao não utilizar a origem atual do template para contornar as restrições da sandbox e executar código arbitrário quando a sandbox está habilitada através de uma source policy em vez de globalmente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.