🇰🇷 한글 설명
Twig는 PHP용 템플릿 언어인데, ?? (null coalescing) 연산자 사용 시 좌측 표현식의 출력이 적절히 이스케이핑되지 않습니다. 이로 인해 XSS(Cross-Site Scripting) 취약점이 발생할 수 있습니다. 3.19.0 버전에서 수정되었습니다.
💡 쉬운 설명
Twig는 웹사이트 HTML을 만드는 템플릿 도구인데, ?? 기호 사용 시 사용자 입력을 안전하게 처리하지 않습니다. 공격자가 악의적인 코드를 웹페이지에 주입할 수 있습니다.
🇺🇸 원문 (English)
Twig is a template language for PHP. When using the ?? operator, output escaping was missing for the expression on the left side of the operator. This vulnerability is fixed in 3.19.0.
📍 영향받는 시스템
Twig 3.19.0 미만의 모든 버전
⚔️ 공격 벡터
?? 연산자를 포함한 템플릿에서 좌측 표현식에 제어 불가능한 사용자 입력을 전달하여 XSS 공격 수행
🛡️ 대응 방법
Twig를 3.19.0 이상으로 업그레이드 (composer require twig/twig:^3.19.0)
🔧 검증 코드
표시된 버전이 3.19.0 이상이면 안전, 미만이면 업그레이드 필요
composer show twig/twig 2>/dev/null | grep -E '^version'