CVE-2026-46637
CVE-2026-46637 · Twig: HTML-output filters in twig/* extras incorrectly declared `is_safe => ['all']`
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Twig is a template language for PHP. Prior to 3.26.0, several filters in twig/markdown-extra and twig/cssinliner-extra are registered with is_safe => [all], causing Twig to treat plain text or HTML output as safe in HTML, JavaScript, CSS, URL, and other contexts where the output is not properly escaped. This issue is fixed in version 3.26.0.
CVSS 5.1 · Media · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · php
Productos y versiones afectados
twig
- Versiones
- < 3.26.0: Afectada
Sin corrección publicada
cssinliner-extra
- Versiones
- < 3.26.0: Afectada
Sin corrección publicada
markdown-extra
- Versiones
- < 3.26.0: Afectada
Sin corrección publicada
php-twig Debian:12
- Versiones
- 3.5.1-1
- 3.5.1-1+deb12u1
- 3.5.1-1+deb12u2
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.5.1-1+deb12u3
Actualiza a 3.5.1-1+deb12u3
php-twig Debian:13
- Versiones
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.27.0-0+deb13u1
Actualiza a 3.27.0-0+deb13u1
php-twig Debian:14
- Versiones
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.26.0-1
Actualiza a 3.26.0-1
twig/markdown-extra Packagist
- Versiones
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.11
- v2.14.2
- v2.14.3
- v2.14.5
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.4
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.1
- v3.3.3
- v3.3.4
- v3.3.5
- v3.3.8
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.26.0
Actualiza a 3.26.0
twig/cssinliner-extra Packagist
- Versiones
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.2
- v2.14.3
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.3
- v3.3.4
- v3.3.5
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.26.0
Actualiza a 3.26.0
php-twig Ubuntu:Pro:20.04:LTS
- Versiones
- 2.11.3-2
- 2.12.1-1
- 2.12.2-1
- 2.12.3-1
- 2.12.5-1
- 2.12.5-1ubuntu0.1~esm1
- 2.12.5-1ubuntu0.1~esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:Pro:22.04:LTS
- Versiones
- 3.3.2-1ubuntu3
- 3.3.4-1
- 3.3.6-1
- 3.3.7-1
- 3.3.8-2ubuntu4
- 3.3.8-2ubuntu4+esm1
- 3.3.8-2ubuntu4+esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:Pro:24.04:LTS
- Versiones
- 3.7.0-1
- 3.7.1-1
- 3.8.0-2
- 3.8.0-2ubuntu0.1~esm1
- 3.8.0-2ubuntu1
- 3.8.0-2ubuntu1+esm1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:25.10
- Versiones
- 3.20.0-2ubuntu1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:26.10
- Versiones
- 3.23.0-2build7
- 3.27.1-1
- 3.28.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
php-twig Ubuntu:Pro:26.04:LTS
- Versiones
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- 3.23.0-2ubuntu0.1~esm1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
Fuentes originales
- https://github.com/twigphp/Twig/security/advisories/GHSA-jv8m-2544-3pg3
- https://github.com/twigphp/Twig/commit/84982072c79a7417b0d158a401d91344f3658299
- https://github.com/twigphp/Twig/commit/e36489d3521ecbfc08bdcc61294302557035f14a
- https://github.com/twigphp/Twig/releases/tag/v3.26.0
- https://nvd.nist.gov/vuln/detail/CVE-2026-46637