CVE-2026-46637
CVE-2026-46637 · Twig: HTML-output filters in twig/* extras incorrectly declared `is_safe => ['all']`
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Twig is a template language for PHP. Prior to 3.26.0, several filters in twig/markdown-extra and twig/cssinliner-extra are registered with is_safe => [all], causing Twig to treat plain text or HTML output as safe in HTML, JavaScript, CSS, URL, and other contexts where the output is not properly escaped. This issue is fixed in version 3.26.0.
CVSS 5.1 · Mittel · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · php
Betroffene Produkte und Versionen
twig
- Softwareversionen
- < 3.26.0: Betroffen
Keine Korrektur veröffentlicht
cssinliner-extra
- Softwareversionen
- < 3.26.0: Betroffen
Keine Korrektur veröffentlicht
markdown-extra
- Softwareversionen
- < 3.26.0: Betroffen
Keine Korrektur veröffentlicht
php-twig Debian:12
- Softwareversionen
- 3.5.1-1
- 3.5.1-1+deb12u1
- 3.5.1-1+deb12u2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.5.1-1+deb12u3
Auf 3.5.1-1+deb12u3 aktualisieren
php-twig Debian:13
- Softwareversionen
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.27.0-0+deb13u1
Auf 3.27.0-0+deb13u1 aktualisieren
php-twig Debian:14
- Softwareversionen
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.26.0-1
Auf 3.26.0-1 aktualisieren
twig/markdown-extra Packagist
- Softwareversionen
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.11
- v2.14.2
- v2.14.3
- v2.14.5
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.4
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.1
- v3.3.3
- v3.3.4
- v3.3.5
- v3.3.8
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.26.0
Auf 3.26.0 aktualisieren
twig/cssinliner-extra Packagist
- Softwareversionen
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.2
- v2.14.3
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.3
- v3.3.4
- v3.3.5
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.26.0
Auf 3.26.0 aktualisieren
php-twig Ubuntu:Pro:20.04:LTS
- Softwareversionen
- 2.11.3-2
- 2.12.1-1
- 2.12.2-1
- 2.12.3-1
- 2.12.5-1
- 2.12.5-1ubuntu0.1~esm1
- 2.12.5-1ubuntu0.1~esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:Pro:22.04:LTS
- Softwareversionen
- 3.3.2-1ubuntu3
- 3.3.4-1
- 3.3.6-1
- 3.3.7-1
- 3.3.8-2ubuntu4
- 3.3.8-2ubuntu4+esm1
- 3.3.8-2ubuntu4+esm2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:Pro:24.04:LTS
- Softwareversionen
- 3.7.0-1
- 3.7.1-1
- 3.8.0-2
- 3.8.0-2ubuntu0.1~esm1
- 3.8.0-2ubuntu1
- 3.8.0-2ubuntu1+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:25.10
- Softwareversionen
- 3.20.0-2ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:26.10
- Softwareversionen
- 3.23.0-2build7
- 3.27.1-1
- 3.28.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
php-twig Ubuntu:Pro:26.04:LTS
- Softwareversionen
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- 3.23.0-2ubuntu0.1~esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://github.com/twigphp/Twig/security/advisories/GHSA-jv8m-2544-3pg3
- https://github.com/twigphp/Twig/commit/84982072c79a7417b0d158a401d91344f3658299
- https://github.com/twigphp/Twig/commit/e36489d3521ecbfc08bdcc61294302557035f14a
- https://github.com/twigphp/Twig/releases/tag/v3.26.0
- https://nvd.nist.gov/vuln/detail/CVE-2026-46637