CVE-2026-62996

Smarty, sunumun (HTML/CSS) uygulama mantığından ayrılmasını kolaylaştıran bir PHP şablon motorudur. 5.0.0 ile 5.8.4 sürümleri arasında, Smarty'nin stream: resource-name işleme mekanizması, bir şablondan hangi PHP akış sarmalayıcılarının (stream wrappers) ve filtre zincirlerinin referans verilebileceğini yeterince kısıtlamamaktadır; bu durum, PHP sürecinin erişebildiği rastgele yerel dosyaların içeriklerini okumak için php://filter ile sarmalanmış bir kaynak adının kullanılmasına izin verir. Bir şablonun kaynak referansını oluşturabilen veya etkileyebilen bir saldırgan, bunu amaçlanan şablon/yapılandırma kapsamı dışındaki hassas dosya içeriklerini ifşa etmek için istismar edebilir. Bu sorun 5.8.4 sürümünde düzeltilmiştir.