p PatchFirst

CVE-2026-24425

CVE-2026-24425 · Twig 2.16.x & 3.9.0-3.25.x Sandbox Bypass via SourcePolicyInterface

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Twig versions 2.16.x and 3.9.0 through 3.25.x contain a sandbox bypass vulnerability when using a SourcePolicyInterface that allows attackers with template rendering capabilities to pass arbitrary PHP callables to sort, filter, map, and reduce filters. Attackers can exploit the runtime check that fails to use the current template source to bypass sandbox restrictions and execute arbitrary code when the sandbox is enabled through a source policy rather than globally.

CVSS 8.7 · Élevée · EPSS 0,8% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • twig

    Versions du logiciel
    • ≥ 3.9.0, < 3.26.0: Concernée (semver)
    • 2.16.*: Concernée (custom)

    Mettez à jour vers 3.26.0

  • php-twig Debian:13

    Versions du logiciel
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    • 3.26.0-0+deb13u1
    • 3.26.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 3.27.0-0+deb13u1

    Mettez à jour vers 3.27.0-0+deb13u1

  • php-twig Debian:14

    Versions du logiciel
    • 3.20.0-2
    • 3.21.1-1
    • 3.21.1-2
    • 3.21.1-3
    • 3.22.0-1
    • 3.22.0-2
    • 3.22.1-1
    • 3.22.1-2
    • 3.22.1-3
    • 3.22.2-1
    • 3.22.2-2
    • 3.23.0-1
    • 3.23.0-2
    • 3.24.0-1
    Plages de versions concernées
    • ECOSYSTEM: < 3.26.0-1

    Mettez à jour vers 3.26.0-1

  • twig/twig Packagist

    Versions du logiciel
    • v2.16.0
    • v2.16.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.16.0, ≤ 2.16.1

    Aucun correctif publié

  • twig/twig Packagist

    Versions du logiciel
    • v3.10.0
    • v3.10.1
    • v3.10.2
    • v3.10.3
    • v3.11.0
    • v3.11.1
    • v3.11.2
    • v3.11.3
    • v3.12.0
    • v3.13.0
    • v3.14.0
    • v3.14.1
    • v3.14.2
    • v3.15.0
    • v3.16.0
    • v3.17.0
    • v3.17.1
    • v3.18.0
    • v3.19.0
    • v3.20.0
    • v3.21.0
    • v3.21.1
    • v3.22.0
    • v3.22.1
    • v3.22.2
    • v3.23.0
    • v3.24.0
    • v3.25.0
    • v3.9.0
    • v3.9.1
    • v3.9.2
    • v3.9.3
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.9.0, < 3.26.0

    Mettez à jour vers 3.26.0

  • php-twig Ubuntu:25.10

    Versions du logiciel
    • 3.20.0-2ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • php-twig Ubuntu:Pro:26.04:LTS

    Versions du logiciel
    • 3.20.0-2ubuntu1
    • 3.23.0-2build5
    • 3.23.0-2build7
    Plages de versions concernées
    • ECOSYSTEM: < 3.23.0-2ubuntu0.1~esm1

    Mettez à jour vers 3.23.0-2ubuntu0.1~esm1

Sources originales

Vérifiez votre serveur →