CVE-2026-24425
CVE-2026-24425 · Twig 2.16.x & 3.9.0-3.25.x Sandbox Bypass via SourcePolicyInterface
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Twig versions 2.16.x and 3.9.0 through 3.25.x contain a sandbox bypass vulnerability when using a SourcePolicyInterface that allows attackers with template rendering capabilities to pass arbitrary PHP callables to sort, filter, map, and reduce filters. Attackers can exploit the runtime check that fails to use the current template source to bypass sandbox restrictions and execute arbitrary code when the sandbox is enabled through a source policy rather than globally.
CVSS 8.7 · Hoch · EPSS 0,8% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · php
Betroffene Produkte und Versionen
twig
- Softwareversionen
- ≥ 3.9.0, < 3.26.0: Betroffen (semver)
- 2.16.*: Betroffen (custom)
Auf 3.26.0 aktualisieren
php-twig Debian:13
- Softwareversionen
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.27.0-0+deb13u1
Auf 3.27.0-0+deb13u1 aktualisieren
php-twig Debian:14
- Softwareversionen
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.26.0-1
Auf 3.26.0-1 aktualisieren
twig/twig Packagist
- Softwareversionen
- v2.16.0
- v2.16.1
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.16.0, ≤ 2.16.1
Keine Korrektur veröffentlicht
twig/twig Packagist
- Softwareversionen
- v3.10.0
- v3.10.1
- v3.10.2
- v3.10.3
- v3.11.0
- v3.11.1
- v3.11.2
- v3.11.3
- v3.12.0
- v3.13.0
- v3.14.0
- v3.14.1
- v3.14.2
- v3.15.0
- v3.16.0
- v3.17.0
- v3.17.1
- v3.18.0
- v3.19.0
- v3.20.0
- v3.21.0
- v3.21.1
- v3.22.0
- v3.22.1
- v3.22.2
- v3.23.0
- v3.24.0
- v3.25.0
- v3.9.0
- v3.9.1
- v3.9.2
- v3.9.3
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 3.9.0, < 3.26.0
Auf 3.26.0 aktualisieren
php-twig Ubuntu:25.10
- Softwareversionen
- 3.20.0-2ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:Pro:26.04:LTS
- Softwareversionen
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.23.0-2ubuntu0.1~esm1
Auf 3.23.0-2ubuntu0.1~esm1 aktualisieren