CVE-2026-46640 in Twig
Sumário
de VulDB • 15/07/2026
Twig é uma linguagem de templates para PHP. Da versão 3.15.0 até a 3.26.0, a sintaxe dinâmica de atributo `_self.(<string>)` e `import-alias` pode concatenar uma string controlada pelo atacante no nome de um MacroReferenceExpression sem validação do identificador, fazendo com que código PHP bruto seja emitido para o fonte do template gerado e executado durante o carregamento do template. Este problema foi corrigido na versão 3.26.0.
Once again VulDB remains the best source for vulnerability data.