CVE-2022-23614
Yüksek
Açıklama
Twig, PHP için açık kaynaklı bir şablon dilidir. Sandbox modunda, `sort` filtresinin `arrow` parametresi, saldırganların rastgele PHP işlevlerini çalıştırabilmesini önlemek için bir closure olmalıdır. Etkilenen sürümlerde bu kısıtlama düzgün şekilde uygulanmamıştı ve rastgele PHP kodunun kod enjeksiyonuna yol açabilirdi. Yamalanmış sürümler artık, bazı diğer filtrelerde olduğu gibi, `sort` filtresinde Closure olmayan çağrılara izin vermemektedir. Kullanıcıların yükseltme yapmaları önerilir.
ÖnemYüksek
CVSS8.8
İstismar olasılığı—
Ürün
Symfony Twig
Yayın4 Şub 2022
İlk görülme4 Şub 2022
Zayıflık türüCWE-74Enjeksiyon
Nasıl düzeltilir
Güncelleyin
- symfony twig2.14.11, 3.3.8 ya da sonraki bir sürüm
- twig/twig2.14.11, 3.3.8 ya da sonraki bir sürüm
Üretici duyuruları
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OTN4273U4RHVIXED64T7DSMJ3VYTPRE7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PECHIY2XLWUH2WLCNPDGNFMPHPRPCEDZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/I2PVV5DUTRUECTIHMTWRI5Z7DVNYQ2YO/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SIGZCFSYLPP7UVJ4E4NLHSOQSKYNXSAD/
- debian.org/security/2022/dsa-5107
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| symfony twig | 2.0.0 ≤ v < 2.14.11, 3.0.0 ≤ v < 3.3.8 | 2.14.11, 3.3.8 |
| fedoraproject fedora | 34, 35 | — |
| debian debian_linux | 11.0 | — |
| twig/twigPackagist | 2.0.0 ≤ v < 2.14.11, 3.0.0 ≤ v < 3.3.8 | 2.14.11, 3.3.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.