CVE-2026-48808

7.5 Élevée

Publiée le 15/07/2026 à 00:17 · Modifiée le 17/07/2026 à 05:16 · Analysée par le NVD · Source : security-advisories@github.com

Description

Twig is a template language for PHP. Prior to 3.27.0, the column filter passes the active sandbox state as a boolean but does not forward the current Source to SandboxExtension::checkPropertyAllowed(), so SourcePolicyInterface decisions are lost and a template author can read public or magic properties not allowed by the sandbox policy. This issue is fixed in version 3.27.0.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	6.0 Moyenne	security-advisories@github.com	`CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.5 Élevée	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`

Faiblesses (CWE)

Références

https://github.com/twigphp/Twig/commit/09c6706407ed7b1cb2d7d1408004f811e47e0424 Patch
https://github.com/twigphp/Twig/releases/tag/v3.27.0 Release Notes
https://github.com/twigphp/Twig/security/advisories/GHSA-h8vq-8gpg-mhcg Vendor Advisory

CVE-2026-48808

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs