🇰🇷 한글 설명
PHP용 템플릿 언어인 Twig 3.27.0 미만 버전에서 발생하는 보안 취약점입니다. 내부 래퍼가 샌드박스 상태를 제대로 전달하지 않아, 특정 레거시 함수 호출 시 샌드박스의 호출 제한을 우회할 수 있습니다.
💡 쉬운 설명
웹사이트의 템플릿을 안전하게 관리하는 '샌드박스'라는 보호막에 구멍이 생긴 상태입니다. 공격자가 이 구멍을 통해 허용되지 않은 명령어를 실행하여 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
Twig is a template language for PHP. Prior to 3.27.0, deprecated internal wrappers in src/Resources/core.php do not forward the current sandbox state to CoreExtension::checkArrow(), arraySome(), and arrayEvery(), allowing legacy calls such as twig_array_some(), twig_array_every(), and twig_check_arrow_in_sandbox() to bypass sandbox callable restrictions. This issue is fixed in version 3.27.0.
📍 영향받는 시스템
Twig versions prior to 3.27.0
⚔️ 공격 벡터
샌드박스 제한을 우회하는 레거시 함수(twig_array_some 등)를 이용한 원격 코드 실행 시도
🛡️ 대응 방법
Twig 버전을 3.27.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 3.27.0 미만인지 확인하십시오.
composer show twig/twig | grep 'versions'