CVE-2022-39261
CVE-2022-39261 · Twig may load a template outside a configured directory when using the filesystem loader
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Twig is a template language for PHP. Versions 1.x prior to 1.44.7, 2.x prior to 2.15.3, and 3.x prior to 3.4.3 encounter an issue when the filesystem loader loads templates for which the name is a user input. It is possible to use the `source` or `include` statement to read arbitrary files from outside the templates' directory when using a namespace like `@somewhere/../some.file`. In such a case, validation is bypassed. Versions 1.44.7, 2.15.3, and 3.4.3 contain a fix for validation of such template names. There are no known workarounds aside from upgrading.
CVSS 7.5 · Alta · EPSS 3,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
twig
- Versiones
- => 1.0.0, < 1.44.7: Afectada
- >= 2.0.0, < 2.15.3: Afectada
- >= 3.0.0, < 3.4.3: Afectada
Sin corrección publicada
php-twig Debian:12
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.4.3-1
Actualiza a 3.4.3-1
php-twig Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.4.3-1
Actualiza a 3.4.3-1
php-twig Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.4.3-1
Actualiza a 3.4.3-1
drupal/core Packagist
- Versiones
- 8.0.0
- 8.0.1
- 8.0.2
- 8.0.3
- 8.0.4
- 8.0.5
- 8.0.6
- 8.1.0
- 8.1.0-beta1
- 8.1.0-beta2
- 8.1.0-rc1
- 8.1.1
- 8.1.10
- 8.1.2
- 8.1.3
- 8.1.4
- 8.1.5
- 8.1.6
- 8.1.7
- 8.1.8
- 8.1.9
- 8.2.0
- 8.2.0-beta1
- 8.2.0-beta2
- 8.2.0-beta3
- 8.2.0-rc1
- 8.2.0-rc2
- 8.2.1
- 8.2.2
- 8.2.3
- 8.2.4
- 8.2.5
- 8.2.6
- 8.2.7
- 8.2.8
- 8.3.0
- 8.3.0-alpha1
- 8.3.0-beta1
- 8.3.0-rc1
- 8.3.0-rc2
- 8.3.1
- 8.3.2
- 8.3.3
- 8.3.4
- 8.3.5
- 8.3.6
- 8.3.7
- 8.3.8
- 8.3.9
- 8.4.0
- 8.4.0-alpha1
- 8.4.0-beta1
- 8.4.0-rc1
- 8.4.0-rc2
- 8.4.1
- 8.4.2
- 8.4.3
- 8.4.4
- 8.4.5
- 8.4.6
- 8.4.7
- 8.4.8
- 8.5.0
- 8.5.0-alpha1
- 8.5.0-beta1
- 8.5.0-rc1
- 8.5.1
- 8.5.10
- 8.5.11
- 8.5.12
- 8.5.13
- 8.5.14
- 8.5.15
- 8.5.2
- 8.5.3
- 8.5.4
- 8.5.5
- 8.5.6
- 8.5.7
- 8.5.8
- 8.5.9
- 8.6.0
- 8.6.0-alpha1
- 8.6.0-beta1
- 8.6.0-beta2
- 8.6.0-rc1
- 8.6.1
- 8.6.10
- 8.6.11
- 8.6.12
- 8.6.13
- 8.6.14
- 8.6.15
- 8.6.16
- 8.6.17
- 8.6.18
- 8.6.2
- 8.6.3
- 8.6.4
- 8.6.5
- 8.6.6
- 8.6.7
- 8.6.8
- 8.6.9
- 8.7.0
- 8.7.0-alpha1
- 8.7.0-alpha2
- 8.7.0-beta1
- 8.7.0-beta2
- 8.7.0-rc1
- 8.7.1
- 8.7.10
- 8.7.11
- 8.7.12
- 8.7.13
- 8.7.14
- 8.7.2
- 8.7.3
- 8.7.4
- 8.7.5
- 8.7.6
- 8.7.7
- 8.7.8
- 8.7.9
- 8.8.0
- 8.8.0-alpha1
- 8.8.0-beta1
- 8.8.0-rc1
- 8.8.1
- 8.8.10
- 8.8.11
- 8.8.12
- 8.8.2
- 8.8.3
- 8.8.4
- 8.8.5
- 8.8.6
- 8.8.7
- 8.8.8
- 8.8.9
- 8.9.0
- 8.9.0-beta1
- 8.9.0-beta2
- 8.9.0-beta3
- 8.9.0-rc1
- 8.9.1
- 8.9.10
- 8.9.11
- 8.9.12
- 8.9.13
- 8.9.14
- 8.9.15
- 8.9.16
- 8.9.17
- 8.9.18
- 8.9.19
- 8.9.2
- 8.9.20
- 8.9.3
- 8.9.4
- 8.9.5
- 8.9.6
- 8.9.7
- 8.9.8
- 8.9.9
- 9.0.0
- 9.0.0-alpha1
- 9.0.0-alpha2
- 9.0.0-beta1
- 9.0.0-beta2
- 9.0.0-beta3
- 9.0.0-rc1
- 9.0.1
- 9.0.10
- 9.0.11
- 9.0.12
- 9.0.13
- 9.0.14
- 9.0.2
- 9.0.3
- 9.0.4
- 9.0.5
- 9.0.6
- 9.0.7
- 9.0.8
- 9.0.9
- 9.1.0
- 9.1.0-alpha1
- 9.1.0-beta1
- 9.1.0-rc1
- 9.1.0-rc2
- 9.1.0-rc3
- 9.1.1
- 9.1.10
- 9.1.11
- 9.1.12
- 9.1.13
- 9.1.14
- 9.1.15
- 9.1.2
- 9.1.3
- 9.1.4
- 9.1.5
- 9.1.6
- 9.1.7
- 9.1.8
- 9.1.9
- 9.2.0
- 9.2.0-alpha1
- 9.2.0-beta1
- 9.2.0-beta2
- 9.2.0-beta3
- 9.2.0-rc1
- 9.2.1
- 9.2.10
- 9.2.11
- 9.2.12
- 9.2.13
- 9.2.14
- 9.2.15
- 9.2.16
- 9.2.17
- 9.2.18
- 9.2.19
- 9.2.2
- 9.2.20
- 9.2.21
- 9.2.3
- 9.2.4
- 9.2.5
- 9.2.6
- 9.2.7
- 9.2.8
- 9.2.9
- 9.3.0
- 9.3.0-alpha1
- 9.3.0-beta1
- 9.3.0-beta2
- 9.3.0-beta3
- 9.3.0-rc1
- 9.3.1
- 9.3.10
- 9.3.11
- 9.3.12
- 9.3.13
- 9.3.14
- 9.3.15
- 9.3.16
- 9.3.17
- 9.3.18
- 9.3.19
- 9.3.2
- 9.3.20
- 9.3.21
- 9.3.3
- 9.3.4
- 9.3.5
- 9.3.6
- 9.3.7
- 9.3.8
- 9.3.9
- 9.4.0
- 9.4.1
- 9.4.2
- 9.4.3
- 9.4.4
- 9.4.5
- 9.4.6
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 8.0.0, < 9.3.22
- ECOSYSTEM: ≥ 9.4.0, < 9.4.7
Actualiza a 9.3.22; Actualiza a 9.4.7
twig/twig Packagist
- Versiones
- 1.3.0
- 1.4.0
- 1.5.0
- 1.5.1
- 1.6.0
- 1.6.1
- 1.6.2
- 1.6.3
- 1.6.4
- 1.6.5
- v1.10.0
- v1.10.1
- v1.10.2
- v1.10.3
- v1.11.0
- v1.11.1
- v1.12.0
- v1.12.0-RC1
- v1.12.1
- v1.12.2
- v1.12.3
- v1.13.0
- v1.13.1
- v1.13.2
- v1.14.0
- v1.14.1
- v1.14.2
- v1.15.0
- v1.15.1
- v1.16.0
- v1.16.1
- v1.16.2
- v1.16.3
- v1.17.0
- v1.18.0
- v1.18.1
- v1.18.2
- v1.19.0
- v1.20.0
- v1.21.0
- v1.21.1
- v1.21.2
- v1.22.0
- v1.22.1
- v1.22.2
- v1.22.3
- v1.23.0
- v1.23.1
- v1.23.2
- v1.23.3
- v1.24.0
- v1.24.1
- v1.24.2
- v1.25.0
- v1.26.0
- v1.26.1
- v1.27.0
- v1.28.0
- v1.28.1
- v1.28.2
- v1.29.0
- v1.30.0
- v1.31.0
- v1.32.0
- v1.33.0
- v1.33.1
- v1.33.2
- v1.34.0
- v1.34.1
- v1.34.2
- v1.34.3
- v1.34.4
- v1.35.0
- v1.35.1
- v1.35.2
- v1.35.3
- v1.35.4
- v1.36.0
- v1.37.0
- v1.37.1
- v1.38.0
- v1.38.1
- v1.38.2
- v1.38.3
- v1.38.4
- v1.39.0
- v1.39.1
- v1.40.0
- v1.40.1
- v1.41.0
- v1.42.0
- v1.42.1
- v1.42.2
- v1.42.3
- v1.42.4
- v1.42.5
- v1.43.0
- v1.43.1
- v1.44.0
- v1.44.1
- v1.44.2
- v1.44.3
- v1.44.4
- v1.44.5
- v1.44.6
- v1.7.0
- v1.8.0
- v1.8.1
- v1.8.2
- v1.8.3
- v1.9.0
- v1.9.1
- v1.9.2
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 1.0.0, < 1.44.7
Actualiza a 1.44.7
twig/twig Packagist
- Versiones
- v2.0.0
- v2.1.0
- v2.10.0
- v2.11.0
- v2.11.1
- v2.11.2
- v2.11.3
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.10
- v2.14.11
- v2.14.12
- v2.14.13
- v2.14.2
- v2.14.3
- v2.14.4
- v2.14.5
- v2.14.6
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.1
- v2.15.2
- v2.2.0
- v2.3.0
- v2.3.1
- v2.3.2
- v2.4.0
- v2.4.1
- v2.4.2
- v2.4.3
- v2.4.4
- v2.4.5
- v2.4.6
- v2.4.7
- v2.4.8
- v2.5.0
- v2.6.0
- v2.6.1
- v2.6.2
- v2.7.0
- v2.7.1
- v2.7.2
- v2.7.3
- v2.7.4
- v2.8.0
- v2.8.1
- v2.9.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 2.0.0, < 2.15.3
Actualiza a 2.15.3
twig/twig Packagist
- Versiones
- v3.0.0
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.2.1
- v3.3.0
- v3.3.1
- v3.3.10
- v3.3.2
- v3.3.3
- v3.3.4
- v3.3.5
- v3.3.6
- v3.3.7
- v3.3.8
- v3.3.9
- v3.4.0
- v3.4.1
- v3.4.2
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.0.0, < 3.4.3
Actualiza a 3.4.3
twig Ubuntu:Pro:16.04:LTS
- Versiones
- 1.20.0-1
- 1.23.1-1ubuntu1
- 1.23.1-1ubuntu4
- Intervalos de versiones afectados
- ECOSYSTEM: < 1.23.1-1ubuntu4+esm1
Actualiza a 1.23.1-1ubuntu4+esm1
twig Ubuntu:Pro:18.04:LTS
- Versiones
- 1.24.0-2ubuntu1
- 2.4.4-2ubuntu1
- 2.4.6-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.4.6-1ubuntu0.1~esm1
Actualiza a 2.4.6-1ubuntu0.1~esm1
php-twig Ubuntu:Pro:20.04:LTS
- Versiones
- 2.11.3-2
- 2.12.1-1
- 2.12.2-1
- 2.12.3-1
- 2.12.5-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.12.5-1ubuntu0.1~esm1
Actualiza a 2.12.5-1ubuntu0.1~esm1
php-twig Ubuntu:Pro:22.04:LTS
- Versiones
- 3.3.2-1ubuntu3
- 3.3.4-1
- 3.3.6-1
- 3.3.7-1
- 3.3.8-2ubuntu4
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.3.8-2ubuntu4+esm1
Actualiza a 3.3.8-2ubuntu4+esm1
Fuentes originales
- https://github.com/twigphp/Twig/security/advisories/GHSA-52m2-vc4m-jj33
- https://github.com/twigphp/Twig/commit/35f3035c5deb0041da7b84daf02dea074ddc7a0b
- https://www.drupal.org/sa-core-2022-016
- https://www.debian.org/security/2022/dsa-5248
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/AUVTXMNPSZAHS3DWZEM56V5W4NPVR6L7/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2OKRUHPVLIQVFPPJ2UWC3WV3WQO763NR/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YU4ZYX62H2NUAKKGUES4RZIM4KMTKZ7F/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NWRFPZSR74SYVJKBTKTMYUK36IJ3SQJP/
- https://lists.debian.org/debian-lts-announce/2022/10/msg00016.html
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TW53TFJ6WWNXMUHOFACKATJTS7NIHVQE/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WV5TNNJLGG536TJH6DLCIAAZZIPV2GUD/
- https://nvd.nist.gov/vuln/detail/CVE-2022-39261