JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024053 TwigはPHP用のテンプレート言語です。3.26.0より前のバージョンでは、非推奨のspacelessフィルターがHTMLに対して安全として登録されていました。spacelessが信頼できない入力に適用されると、Twigの自動エスケープが攻撃者が制御するマークアップをエスケープせずに出力してしまう問題がありました。この問題はバージョン3.26.0で修正されています。 cpe:/a:symfony:twig https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024053.html Common Vulnerabilities and Exposures (CVE) CVE-2026-46628 https://www.cve.org/CVERecord?id=CVE-2026-46628 National Vulnerability Database (NVD) CVE-2026-46628 https://nvd.nist.gov/vuln/detail/CVE-2026-46628 GitHub The `spaceless` filter implicitly marks its output as safe Advisory twigphp/Twig GitHub https://github.com/twigphp/Twig/security/advisories/GHSA-4j38-f5cw-54h7 JVNDB CWE-116 https://cwe.mitre.org/data/definitions/116.html 関連文書 Release v3.26.0 twigphp/Twig GitHub https://github.com/twigphp/Twig/releases/tag/v3.26.0 関連文書 Pre-escape HTML input on the `spaceless` filter twigphp/Twig@3190b9a GitHub https://github.com/twigphp/Twig/commit/3190b9ae12614dfd58cc5d8f394bac4708b17913 2026-07-17T11:17:05+09:00 2026-07-17T11:17:05+09:00