CVE-2026-46637
CVE-2026-46637 · Twig: HTML-output filters in twig/* extras incorrectly declared `is_safe => ['all']`
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Twig is a template language for PHP. Prior to 3.26.0, several filters in twig/markdown-extra and twig/cssinliner-extra are registered with is_safe => [all], causing Twig to treat plain text or HTML output as safe in HTML, JavaScript, CSS, URL, and other contexts where the output is not properly escaped. This issue is fixed in version 3.26.0.
CVSS 5.1 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
twig
- Versions du logiciel
- < 3.26.0: Concernée
Aucun correctif publié
cssinliner-extra
- Versions du logiciel
- < 3.26.0: Concernée
Aucun correctif publié
markdown-extra
- Versions du logiciel
- < 3.26.0: Concernée
Aucun correctif publié
php-twig Debian:12
- Versions du logiciel
- 3.5.1-1
- 3.5.1-1+deb12u1
- 3.5.1-1+deb12u2
- Plages de versions concernées
- ECOSYSTEM: < 3.5.1-1+deb12u3
Mettez à jour vers 3.5.1-1+deb12u3
php-twig Debian:13
- Versions du logiciel
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- 3.26.0-0+deb13u1
- 3.26.0-1
- Plages de versions concernées
- ECOSYSTEM: < 3.27.0-0+deb13u1
Mettez à jour vers 3.27.0-0+deb13u1
php-twig Debian:14
- Versions du logiciel
- 3.20.0-2
- 3.21.1-1
- 3.21.1-2
- 3.21.1-3
- 3.22.0-1
- 3.22.0-2
- 3.22.1-1
- 3.22.1-2
- 3.22.1-3
- 3.22.2-1
- 3.22.2-2
- 3.23.0-1
- 3.23.0-2
- 3.24.0-1
- Plages de versions concernées
- ECOSYSTEM: < 3.26.0-1
Mettez à jour vers 3.26.0-1
twig/markdown-extra Packagist
- Versions du logiciel
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.11
- v2.14.2
- v2.14.3
- v2.14.5
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.4
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.1
- v3.3.3
- v3.3.4
- v3.3.5
- v3.3.8
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Plages de versions concernées
- ECOSYSTEM: < 3.26.0
Mettez à jour vers 3.26.0
twig/cssinliner-extra Packagist
- Versions du logiciel
- v2.12.0
- v2.12.1
- v2.12.2
- v2.12.3
- v2.12.4
- v2.12.5
- v2.13.0
- v2.13.1
- v2.14.0
- v2.14.1
- v2.14.2
- v2.14.3
- v2.14.7
- v2.14.8
- v2.14.9
- v2.15.0
- v2.15.5
- v2.15.6
- v2.16.0
- v3.0.0
- v3.0.0-BETA1
- v3.0.1
- v3.0.2
- v3.0.3
- v3.0.4
- v3.0.5
- v3.1.0
- v3.1.1
- v3.10.0
- v3.11.0
- v3.12.0
- v3.13.0
- v3.15.0
- v3.16.0
- v3.17.0
- v3.18.0
- v3.19.0
- v3.2.1
- v3.20.0
- v3.21.0
- v3.22.0
- v3.23.0
- v3.24.0
- v3.3.0
- v3.3.3
- v3.3.4
- v3.3.5
- v3.4.0
- v3.5.0
- v3.5.1
- v3.6.0
- v3.7.0
- v3.7.1
- v3.8.0
- v3.9.0
- Plages de versions concernées
- ECOSYSTEM: < 3.26.0
Mettez à jour vers 3.26.0
php-twig Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 2.11.3-2
- 2.12.1-1
- 2.12.2-1
- 2.12.3-1
- 2.12.5-1
- 2.12.5-1ubuntu0.1~esm1
- 2.12.5-1ubuntu0.1~esm2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
php-twig Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 3.3.2-1ubuntu3
- 3.3.4-1
- 3.3.6-1
- 3.3.7-1
- 3.3.8-2ubuntu4
- 3.3.8-2ubuntu4+esm1
- 3.3.8-2ubuntu4+esm2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
php-twig Ubuntu:Pro:24.04:LTS
- Versions du logiciel
- 3.7.0-1
- 3.7.1-1
- 3.8.0-2
- 3.8.0-2ubuntu0.1~esm1
- 3.8.0-2ubuntu1
- 3.8.0-2ubuntu1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
php-twig Ubuntu:25.10
- Versions du logiciel
- 3.20.0-2ubuntu1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
php-twig Ubuntu:26.10
- Versions du logiciel
- 3.23.0-2build7
- 3.27.1-1
- 3.28.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
php-twig Ubuntu:Pro:26.04:LTS
- Versions du logiciel
- 3.20.0-2ubuntu1
- 3.23.0-2build5
- 3.23.0-2build7
- 3.23.0-2ubuntu0.1~esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://github.com/twigphp/Twig/security/advisories/GHSA-jv8m-2544-3pg3
- https://github.com/twigphp/Twig/commit/84982072c79a7417b0d158a401d91344f3658299
- https://github.com/twigphp/Twig/commit/e36489d3521ecbfc08bdcc61294302557035f14a
- https://github.com/twigphp/Twig/releases/tag/v3.26.0
- https://nvd.nist.gov/vuln/detail/CVE-2026-46637