CVE-2022-39261

Yüksek

Açıklama

Twig, PHP için bir şablon dilidir. 1.44.7 öncesindeki 1.x, 2.15.3 öncesindeki 2.x ve 3.4.3 öncesindeki 3.x sürümleri, dosya sistemi yükleyicisi adı kullanıcı girişi olan şablonları yüklediğinde bir sorunla karşılaşmaktadır. `@somewhere/../some.file` gibi bir ad alanı kullanıldığında, `source` veya `include` ifadelerini kullanarak şablon dizininin dışındaki rastgele dosyaları okumak mümkündür. Böyle bir durumda doğrulama atlatılmaktadır. 1.44.7, 2.15.3 ve 3.4.3 sürümleri, bu tür şablon adlarının doğrulanması için bir düzeltme içermektedir. Güncelleme yapmak dışında bilinen bir geçici çözüm yoktur.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

Ürün

Symfony Twig

Yayın28 Eyl 2022

İlk görülme28 Eyl 2022

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

symfony twig1.44.7, 2.15.3, 3.4.3 ya da sonraki bir sürüm
drupal drupal9.3.22, 9.4.7 ya da sonraki bir sürüm
drupal/core9.3.22, 9.4.7 ya da sonraki bir sürüm
twig/twig1.44.7, 2.15.3, 3.4.3 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
symfony twig	1.0.0 ≤ v < 1.44.7, 2.0.0 ≤ v < 2.15.3, 3.0.0 ≤ v < 3.4.3	1.44.7, 2.15.3, 3.4.3
drupal drupal	8.0.0 ≤ v < 9.3.22, 9.4.0 ≤ v < 9.4.7	9.3.22, 9.4.7
fedoraproject fedora	35, 36, 37	—
debian debian_linux	10.0, 11.0	—
drupal/corePackagist	8.0.0 ≤ v < 9.3.22, 9.4.0 ≤ v < 9.4.7	9.3.22, 9.4.7
twig/twigPackagist	1.0.0 ≤ v < 1.44.7, 2.0.0 ≤ v < 2.15.3, 3.0.0 ≤ v < 3.4.3	1.44.7, 2.15.3, 3.4.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.