Twig: injeção de código PHP via nome de template em {% use %} (CVE-2026-46633)
Foi publicada a vulnerabilidade CVE-2026-46633 (CVSS 8.7) no Twig, um mecanismo de templates para PHP. O Compiler::string() não escapa aspas simples quando o nome de um template da tag {% use %} é colocado em uma string PHP entre aspas simples. Um nome manipulado pode sair da string e injetar expressões PHP no arquivo de cache compilado.
Verificado no Shield: não
Quem é afetado
Twig da versão 1.15.1 até antes da 3.26.0 (a 3.26.0 não é afetada). O risco existe quando um atacante pode manipular o nome do template em {% use %}.
Como verificar
Execute `composer show twig/twig` ou procure twig no composer.lock. Verifique também se os nomes de template em {% use %} não são montados a partir de dados do usuário.
Como corrigir
Há correção: atualize o Twig para a versão 3.26.0 ou superior.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques reais. Fonte: NVD (CVE-2026-46633).
