🇰🇷 한글 설명
PHP용 템플릿 언어인 Twig의 3.15.0부터 3.26.0 버전 사이에서 식별자 검증 없이 공격자가 제어하는 문자열을 MacroReferenceExpression 이름에 결합할 수 있는 취약점이 발견되었습니다. 이로 인해 생성된 템플릿 소스에 가공되지 않은 PHP 코드가 포함되어 템플릿 로드 시점에 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 화면을 만드는 도구인 Twig에서 보안 허점이 발견되어, 공격자가 몰래 악성 코드를 심을 수 있습니다. 이 코드가 실행되면 해커가 웹사이트의 제어권을 뺏을 수 있어 위험합니다.
🇺🇸 원문 (English)
Twig is a template language for PHP. From 3.15.0 until 3.26.0, _self.(<string>) and import-alias dynamic attribute syntax can concatenate an attacker-controlled string into a MacroReferenceExpression name without identifier validation, causing raw PHP to be emitted into the generated template source and executed at template-load time. This issue is fixed in version 3.26.0.
📍 영향받는 시스템
Twig versions 3.15.0 to 3.26.0
⚔️ 공격 벡터
템플릿 내에서 특수하게 조작된 속성 구문을 사용하여 악성 PHP 코드를 주입하는 방식
🛡️ 대응 방법
Twig 버전을 3.26.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.15.0 이상 3.26.0 미만인지 확인하십시오.
composer show twig/twig | grep 'versions'