Twig: inyección de código PHP mediante el nombre de plantilla en {% use %} (CVE-2026-46633)
Se publicó la vulnerabilidad CVE-2026-46633 (CVSS 8.7) en Twig, un motor de plantillas para PHP. Compiler::string() no escapa las comillas simples cuando un nombre de plantilla de la etiqueta {% use %} se coloca en una cadena PHP entre comillas simples. Un nombre manipulado puede salir de la cadena e inyectar expresiones PHP en el archivo de caché compilado.
Revisado en Shield: no
Quién está afectado
Twig desde la versión 1.15.1 hasta antes de 3.26.0 (3.26.0 no está afectada). El riesgo aplica si un atacante puede manipular el nombre de plantilla en {% use %}.
Cómo comprobar
Ejecuta `composer show twig/twig` o busca twig en composer.lock. Verifica también que los nombres de plantilla en {% use %} no se construyan a partir de datos del usuario.
Cómo corregirlo
Hay parche: actualiza Twig a la versión 3.26.0 o posterior.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha divulgado si la vulnerabilidad se explota activamente. Fuente: NVD (CVE-2026-46633).
