Twig: впровадження PHP-коду через ім'я шаблону в {% use %} (CVE-2026-46633)
У Twig, шаблонізаторі для PHP, знайдено вразливість CVE-2026-46633 (CVSS 8.7). Compiler::string() не екранує одинарні лапки в імені шаблону з тегу {% use %}. Підготовлене ім'я може вийти зі строкового літерала та впровадити PHP-вирази в скомпільований кеш-файл.
Перевіряється в Shield: ні
Кого стосується
Twig з версії 1.15.1 до 3.26.0 (3.26.0 не зачеплена). Ризик пов'язаний із тим, що ім'я шаблону в {% use %} може бути підготовлене зловмисником.
Як перевірити в себе
Виконайте `composer show twig/twig` або знайдіть twig у composer.lock. Також переконайтеся, що імена шаблонів у {% use %} не формуються з користувацького вводу.
Як виправити
Виправлення є: оновіть Twig до версії 3.26.0 або новішої.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про використання вразливості в реальних атаках поки немає, джерело: NVD (CVE-2026-46633).
