JVN iPedia
http://jvndb.jvn.jp
Advisory
JVNDB-2026-024052
symfonyのtwigにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性
TwigはPHPのテンプレート言語です。バージョン3.26.0より前のtwig/intl-extraでは、IntlDateFormatterおよびNumberFormatterのインスタンスを、ロケールやパターン、attrsなどテンプレートから制御されるフィルター引数をキーとした配列でメモ化していました。これにより、テンプレートが多くのICUフォーマッターオブジェクトを割り当て、それらがTwig\Environmentのライフタイム中に固定され続ける問題が発生していました。この問題はバージョン3.26.0で修正されました。
cpe:/a:symfony:twig
https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024052.html
Common Vulnerabilities and Exposures (CVE)
CVE-2026-46629
https://www.cve.org/CVERecord?id=CVE-2026-46629
National Vulnerability Database (NVD)
CVE-2026-46629
https://nvd.nist.gov/vuln/detail/CVE-2026-46629
GitHub
Unbounded formatter memoisation in twig/intl-extra keyed on template-controlled arguments Advisory twigphp/Twig GitHub
https://github.com/twigphp/Twig/security/advisories/GHSA-35wc-cvqg-78fp
JVNDB
CWE-770
制限またはスロットリング無しのリソースの割り当て
https://cwe.mitre.org/data/definitions/770.html
関連文書
Release v3.26.0 twigphp/Twig GitHub
https://github.com/twigphp/Twig/releases/tag/v3.26.0
関連文書
Fix unbounded memoisation of `IntlDateFormatter` / `NumberFormatter` twigphp/Twig@6add906 GitHub
https://github.com/twigphp/Twig/commit/6add9066fc5c0455eb764c1f3af6e4e4e3562419
2026-07-17T11:17:02+09:00
2026-07-17T11:17:02+09:00