🇰🇷 한글 설명
PHP용 템플릿 언어인 Twig의 3.26.0 미만 버전에서 twig/markdown-extra 및 twig/cssinliner-extra의 일부 필터가 모든 컨텍스트에서 안전한 것으로 잘못 설정되어 있습니다. 이로 인해 HTML, JavaScript, CSS, URL 등의 환경에서 출력값이 적절히 이스케이프되지 않아 보안 취약점이 발생할 수 있습니다.
💡 쉬운 설명
웹사이트의 글자나 코드를 안전하게 변환해주는 도구에 설정 오류가 있어, 악의적인 코드가 그대로 실행될 위험이 있습니다. 공격자가 이를 이용해 사용자의 정보를 훔치거나 웹사이트를 변조할 수 있습니다.
🇺🇸 원문 (English)
Twig is a template language for PHP. Prior to 3.26.0, several filters in twig/markdown-extra and twig/cssinliner-extra are registered with is_safe => [all], causing Twig to treat plain text or HTML output as safe in HTML, JavaScript, CSS, URL, and other contexts where the output is not properly escaped. This issue is fixed in version 3.26.0.
📍 영향받는 시스템
Twig versions prior to 3.26.0 (specifically involving twig/markdown-extra and twig/cssinliner-extra)
⚔️ 공격 벡터
검증되지 않은 사용자 입력값이 Twig 필터를 거쳐 HTML, JS, CSS 등의 컨텍스트에 적절한 이스케이프 없이 삽입될 때 발생
🛡️ 대응 방법
Twig 버전을 3.26.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.26.0 미만인지 확인하십시오.
composer show twig/twig | grep 'versions'