「Twig」に脆弱性 - EOLの旧版にもアップデートを用意

SensioLabsが提供するPHP向けのテンプレートエンジン「Twig」に脆弱性が明らかとなった。メンテナンスを行っていない旧版に対してもアップデートを用意したという。

現地時間9月9日にアドバイザリを公表し、サンドボックスのバイパスが可能となる脆弱性について明らかにしたもの。「同3.13.0」および以前のバージョンが影響を受ける。

特定の状況下において、サンドボックスのセキュリティチェックが実行されず、ユーザーが提供したテンプレートにおいてサンドボックスの制限を回避されるおそれがあるという。

アドバイザリの公表時点で、CVE番号や共通脆弱性評価システム「CVSS」のベーススコアなどは示していない。

開発チームでは、脆弱性を修正した「同3.14.0」をリリース。すでにサポートが終了している「同2.x」「同1.x」に対しても同脆弱性を修正した「同2.16.1」「同1.44.8」を用意している。

（Security NEXT - 2024/09/10 ）ツイート