CVE-2022-23614

Versões do Twig anteriores à versão corrigida

O problema decorre da falta de aplicação adequada da restrição de que o parâmetro arrow do filtro sort deve ser um closure quando no modo sandbox. Isso poderia levar à injeção de código PHP arbitrário, permitindo que invasores executassem funções PHP arbitrárias. As versões corrigidas agora proíbem a chamada de não-closures no filtro sort.

Para todas as versões afetadas do Twig, recomenda-se que os usuários atualizem para uma versão corrigida a fim de resolver o problema. Como solução temporária, considere desativar o filtro sort até que uma correção esteja disponível. Restrinja o acesso ao parâmetro arrow do filtro sort para minimizar o risco de exploração. Evite usar o parâmetro arrow no filtro sort afetado até que o problema seja resolvido.