CVE-2026-24425
Təsvir
Twig-in 2.16.x və 3.9.0-dan 3.25.x-ə qədər olan versiyalarında, SourcePolicyInterface istifadə edildikdə sandbox-dan yan keçmə zəifliyi mövcuddur. Bu, şablon render etmək imkanına malik hücumçulara sort, filter, map və reduce filtrlərinə ixtiyari PHP callable funksiyalarını ötürməyə imkan verir. Hücumçular, sandbox qlobal olaraq deyil, mənbə siyasəti (source policy) vasitəsilə aktivləşdirildikdə, cari şablon mənbəyindən istifadə etməyən runtime yoxlamasından istifadə edərək sandbox məhdudiyyətlərini yan keçə və ixtiyari kodun icrasını həyata keçirə bilərlər.
Necə düzəltmək olar
- symfony twig3.26.0 və ya daha yeni versiya
- twig/twig3.26.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| symfony twig | 2.16.0 ≤ v ≤ 2.16.1, 3.9.0 ≤ v < 3.26.0 | 3.26.0 |
| twig/twigPackagist | 2.16.0 ≤ v ≤ 2.16.1, 3.9.0 ≤ v < 3.26.0 | 3.26.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.