CVE-2026-62996

Nome do Software Vulnerável e Versões Afetadas Smarty versões 5.0.0 até 5.8.3

Descrição A manipulação do nome de recurso stream: no Smarty não restringe adequadamente quais wrappers de stream do PHP e cadeias de filtros podem ser referenciados a partir de um template. Isso permite que um nome de recurso envolvido por php://filter seja usado para ler o conteúdo de arquivos locais arbitrários acessíveis ao processo PHP, mesmo quando a Segurança do Smarty está ativada e todos os streams estão desativados via Security::$streams = null. Um invasor capaz de criar ou influenciar a referência de recurso de um template pode ignorar as restrições de segurança e a verificação de diretório de template confiável para expor conteúdos de arquivos sensíveis. O problema ocorre porque BasePlugin::load() mapeia o recurso stream diretamente para StreamPlugin antes que as verificações de segurança sejam aplicadas, e StreamPlugin::getContent() subsequentemente chama fopen() na URI aninhada. As funções relevantes incluem BasePlugin::load(), StreamPlugin::getContent() e Security::isTrustedStream().

Recomendações Atualize para a versão 5.8.4. Como mitigação temporária, restrinja a capacidade de usuários não confiáveis de criar ou influenciar referências de recursos de template.