CVE-2024-35226
CVE-2024-35226 · PHP Code Injection by malicious attribute in extends-tag in Smarty
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Smarty is a template engine for PHP, facilitating the separation of presentation (HTML/CSS) from application logic. In affected versions template authors could inject php code by choosing a malicious file name for an extends-tag. Sites that cannot fully trust template authors should update asap. All users are advised to update. There is no patch for users on the v3 branch. There are no known workarounds for this vulnerability.
CVSS 7.3 · Alta · EPSS 0,5% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
smarty
- Versiones
- >= 5.0.0, < 5.1.1: Afectada
- >= 3.0.0, < 4.5.3: Afectada
Sin corrección publicada
smarty3 Debian:12
- Versiones
- 3.1.47-2
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.47-2+deb12u1
Actualiza a 3.1.47-2+deb12u1
smarty3 Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.48-2
Actualiza a 3.1.48-2
smarty3 Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.48-2
Actualiza a 3.1.48-2
smarty4 Debian:12
- Versiones
- 4.3.0-1
- 4.3.0-1+deb12u1
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.3.0-1+deb12u2
Actualiza a 4.3.0-1+deb12u2
smarty4 Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.5.4-1
Actualiza a 4.5.4-1
smarty4 Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.5.4-1
Actualiza a 4.5.4-1
smarty/smarty Packagist
- Versiones
- v5.0.0
- v5.0.1
- v5.0.2
- v5.1.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 5.0.0, < 5.1.1
Actualiza a 5.1.1
smarty/smarty Packagist
- Versiones
- v3.1.11
- v3.1.12
- v3.1.13
- v3.1.14
- v3.1.15
- v3.1.16
- v3.1.17
- v3.1.18
- v3.1.19
- v3.1.20
- v3.1.21
- v3.1.23
- v3.1.24
- v3.1.25
- v3.1.26
- v3.1.27
- v3.1.28
- v3.1.29
- v3.1.30
- v3.1.31
- v3.1.32
- v3.1.33
- v3.1.34
- v3.1.35
- v3.1.36
- v3.1.37
- v3.1.37.1
- v3.1.38
- v3.1.39
- v3.1.40
- v3.1.41
- v3.1.42
- v3.1.43
- v3.1.44
- v3.1.45
- v3.1.46
- v3.1.47
- v3.1.48
- v4.0.0
- v4.0.0-rc.0
- v4.0.1
- v4.0.2
- v4.0.3
- v4.0.4
- v4.1.0
- v4.1.1
- v4.2.0
- v4.2.1
- v4.3.0
- v4.3.1
- v4.3.2
- v4.3.3
- v4.3.4
- v4.3.5
- v4.4.0
- v4.4.1
- v4.5.0
- v4.5.1
- v4.5.2
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.0.0, < 4.5.3
Actualiza a 4.5.3
smarty3 Ubuntu:Pro:16.04:LTS
- Versiones
- 3.1.21-1
- 3.1.21-1ubuntu1
- 3.1.21-1ubuntu1+esm1
- 3.1.21-1ubuntu1+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
smarty3 Ubuntu:Pro:18.04:LTS
- Versiones
- 3.1.31+20161214.1.c7d42e4+selfpack1-2
- 3.1.31+20161214.1.c7d42e4+selfpack1-3
- 3.1.31+20161214.1.c7d42e4+selfpack1-3ubuntu0.1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.31+20161214.1.c7d42e4+selfpack1-3ubuntu0.1+esm1
Actualiza a 3.1.31+20161214.1.c7d42e4+selfpack1-3ubuntu0.1+esm1
smarty3 Ubuntu:20.04:LTS
- Versiones
- 3.1.33+20180830.1.3a78a21f+selfpack1-1
- 3.1.34+20190228.1.c9f0de05+selfpack1-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.34+20190228.1.c9f0de05+selfpack1-1ubuntu0.1
Actualiza a 3.1.34+20190228.1.c9f0de05+selfpack1-1ubuntu0.1
smarty3 Ubuntu:22.04:LTS
- Versiones
- 3.1.39-2
- 3.1.39-2ubuntu1
- 3.1.39-2ubuntu1.22.04.1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.39-2ubuntu1.22.04.2
Actualiza a 3.1.39-2ubuntu1.22.04.2
smarty3 Ubuntu:24.04:LTS
- Versiones
- 3.1.48-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.1.48-1ubuntu0.24.04.1
Actualiza a 3.1.48-1ubuntu0.24.04.1
smarty4 Ubuntu:24.04:LTS
- Versiones
- 4.3.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.3.1-1ubuntu0.24.04.1
Actualiza a 4.3.1-1ubuntu0.24.04.1
smarty3 Ubuntu:25.10
- Versiones
- 3.1.48-2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
smarty3 Ubuntu:26.10
- Versiones
- 3.1.48-2build1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
smarty3 Ubuntu:26.04:LTS
- Versiones
- 3.1.48-2
- 3.1.48-2build1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada