Serveis / Alertes

Symfony Twig directory traversal

ALERTES

29/09/2022

CVE-2022-39261

ALT: (7.5)

CVSS3: 6.5

Symfony Twig podria permetre a un atacant remot travessar directoris en el sistema, causat per la validació inadequada de l’entrada de l’usuari pel carregador del sistema d’arxius. Un atacant podria utilitzar una plantilla especialment dissenyada que contingui seqüències de “punts” (/../) en el nom per llegir arxius arbitraris des de fora del directori de plantilles.

Sistemes Afectats

  • Symfony Twig 1.0.0
  • Symfony Twig 2.0.0
  • Symfony Twig 3.0.0
  • Symfony Twig 1.44.6
  • Symfony Twig 2.15.2
  • Symfony Twig 3.4.2

Remediació
Actualitzi a l’última versió de Twig (1.44.7, 2.15.3, 3.4.3 o posterior), disponible en el repositori GIT de Twig.

Referències