CVE-2022-39261

Versões 1.x do Twig anteriores à 1.44.7

Versões 2.x do Twig anteriores à 2.15.3

Versões 3.x do Twig anteriores à 3.4.3

O problema ocorre quando o carregador do sistema de arquivos carrega modelos cujo nome é fornecido pelo usuário. É possível usar a instrução source ou include para ler arquivos arbitrários de fora do diretório dos modelos ao usar um namespace como @somewhere/../some.file. Nesse caso, a validação é contornada.

Para versões 1.x anteriores à 1.44.7, atualize para a versão 1.44.7 ou posterior.

Para versões 2.x anteriores à 2.15.3, atualize para a versão 2.15.3 ou posterior.

Para versões 3.x anteriores à 3.4.3, atualize para a versão 3.4.3 ou posterior.

Como solução temporária, considere restringir o uso das instruções source e include com nomes de modelos inseridos pelo usuário até que um patch esteja disponível.