CVE-2026-24425
CVE-2026-24425 · Twig 2.16.x & 3.9.0-3.25.x Sandbox Bypass via SourcePolicyInterface
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Twig versions 2.16.x and 3.9.0 through 3.25.x contain a sandbox bypass vulnerability when using a SourcePolicyInterface that allows attackers with template rendering capabilities to pass arbitrary PHP callables to sort, filter, map, and reduce filters. Attackers can exploit the runtime check that fails to use the current template source to bypass sandbox restrictions and execute arbitrary code when the sandbox is enabled through a source policy rather than globally.
CVSS 8.7 · Alta · EPSS 0,8% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
twig
- Versiones
- ≥ 3.9.0, < 3.26.0: Afectada (semver)
- 2.16.*: Afectada (custom)
Actualiza a 3.26.0
php-twig Debian:13
- Versiones
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.27.0-0+deb13u1
Actualiza a 3.27.0-0+deb13u1
php-twig Debian:14
- Versiones
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.26.0-1
Actualiza a 3.26.0-1
twig/twig Packagist
- Versiones
- v2.16.0
- v2.16.1
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 2.16.0, ≤ 2.16.1
Sin corrección publicada
twig/twig Packagist
- Versiones
- v3.10.0
- v3.10.1
- v3.10.2
- v3.10.3
- v3.11.0
- v3.11.1
- v3.11.2
- v3.11.3
- v3.12.0
- v3.13.0
- v3.14.0
- v3.14.1
- v3.14.2
- v3.15.0
- v3.16.0
- v3.17.0
- v3.17.1
- v3.18.0
- v3.19.0
- v3.20.0
- v3.21.0
- v3.21.1
- v3.22.0
- v3.22.1
- v3.22.2
- v3.23.0
- v3.24.0
- v3.25.0
- v3.9.0
- v3.9.1
- v3.9.2
- v3.9.3
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.9.0, < 3.26.0
Actualiza a 3.26.0
php-twig Ubuntu:25.10
- Versiones
- 3.20.0-2ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:Pro:26.04:LTS
- Versiones
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.23.0-2ubuntu0.1~esm1
Actualiza a 3.23.0-2ubuntu0.1~esm1