Twig: внедрение PHP-кода через имя шаблона в {% use %} (CVE-2026-46633)
В Twig, шаблонизаторе для PHP, найдена уязвимость CVE-2026-46633 (CVSS 8.7). Compiler::string() не экранирует одинарные кавычки в имени шаблона из тега {% use %}. Подготовленное имя может выйти из строкового литерала и внедрить PHP-выражения в скомпилированный кэш-файл.
Проверяется в Shield: нет
Кого касается
Twig с версии 1.15.1 до 3.26.0 (3.26.0 не затронута). Риск связан с тем, что имя шаблона в {% use %} может быть подготовлено злоумышленником.
Как проверить у себя
Выполните `composer show twig/twig` или найдите twig в composer.lock. Также убедитесь, что имена шаблонов в {% use %} не формируются из пользовательского ввода.
Как исправить
Исправление есть: обновите Twig до версии 3.26.0 или новее.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в реальных атаках пока нет, источник: NVD (CVE-2026-46633).
