CVE-2026-46639

Nome do Software Vulnerável e Versões Afetadas Twig versões 3.24.0 até 3.24.x

Descrição A sintaxe de atribuição de desestruturação de objetos gera uma chamada para a função getAttribute() dentro de CoreExtension onde o argumento $sandboxed é fixado como false. Isso ocorre independentemente de a SandboxExtension estar ativa, desativando efetivamente as verificações de política de propriedades e métodos para todas as expressões de desestruturação. Especificamente, a função compile() em ObjectDestructuringSetBinary não passa a flag de sandbox ativa, ao contrário da função compile() em GetAttrExpression.

Um invasor com acesso de escrita a um template sandboxed pode ignorar as restrições de SecurityPolicy para ler qualquer propriedade pública ou invocar qualquer getter público em objetos passados para o mecanismo de template. Isso é possível se a tag {% do %} estiver incluída em allowedTags.

Recomendações Atualize para uma versão onde o compilador de desestruturação encaminhe a flag de sandbox ativa para getAttribute() para garantir que as listas de permissões de propriedades e métodos sejam aplicadas.