JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024051 TwigはPHP用のテンプレート言語です。3.26.0より前のバージョンでは、Compiler::string()が{% use %}タグからのテンプレート名をPHPのシングルクオート文字列リテラル内に配置した場合にシングルクオートをエスケープしないため、細工されたテンプレート名が文字列を終了させ、コンパイル済みキャッシュファイルに任意のPHP式を注入できる状態でした。この問題はバージョン3.26.0で修正されています。 cpe:/a:symfony:twig https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024051.html Common Vulnerabilities and Exposures (CVE) CVE-2026-46633 https://www.cve.org/CVERecord?id=CVE-2026-46633 National Vulnerability Database (NVD) CVE-2026-46633 https://nvd.nist.gov/vuln/detail/CVE-2026-46633 GitHub PHP code injection via `{% use %}` template name Advisory twigphp/Twig GitHub https://github.com/twigphp/Twig/security/advisories/GHSA-7p85-w9px-jpjp JVNDB CWE-94 https://jvndb.jvn.jp/ja/cwe/CWE-94.html 関連文書 Release v3.26.0 twigphp/Twig GitHub https://github.com/twigphp/Twig/releases/tag/v3.26.0 関連文書 Encode single quotes as \x27 in Compiler::string() twigphp/Twig@679447f GitHub https://github.com/twigphp/Twig/commit/679447fa29083043665482ccf7d64372472621b8 関連文書 Fix sandbox bypass: PHP code injection via {% use %} template name twigphp/Twig@e9ff55f GitHub https://github.com/twigphp/Twig/commit/e9ff55f6910832428e48a35b2e0748189ad49ae3 2026-07-17T11:16:59+09:00 2026-07-17T11:16:59+09:00