CVE-2022-39261: symfony twig +3 lainnya

csirt@kutim:~/threat-intel/cve/CVE-2022-39261

CVSS 7.5 · High EPSS 3,2%

Kerentanan Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') pada symfony twig, drupal +2 lainnya. Skor CVSS 3.1 7.5 (High) menurut NVD.

Deskripsi (NVD)

Twig is a template language for PHP. Versions 1.x prior to 1.44.7, 2.x prior to 2.15.3, and 3.x prior to 3.4.3 encounter an issue when the filesystem loader loads templates for which the name is a user input. It is possible to use the `source` or `include` statement to read arbitrary files from outside the templates' directory when using a namespace like `@somewhere/../some.file`. In such a case, validation is bypassed. Versions 1.44.7, 2.15.3, and 3.4.3 contain a fix for validation of such template names. There are no known workarounds aside from upgrading.

Rincian

Terbit di NVD: 28 September 2022
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 7.5 (High), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
EPSS (30 hari): 3,2% peluang dieksploitasi; lebih tinggi dari 87,6% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
symfony	twig	Versi 1.0.0 hingga sebelum 1.44.7
symfony	twig	Versi 2.0.0 hingga sebelum 2.15.3
symfony	twig	Versi 3.0.0 hingga sebelum 3.4.3
drupal	drupal	Versi 8.0.0 hingga sebelum 9.3.22
drupal	drupal	Versi 9.4.0 hingga sebelum 9.4.7
fedoraproject	fedora	Versi 35
fedoraproject	fedora	Versi 36
fedoraproject	fedora	Versi 37
debian	debian linux	Versi 10.0
debian	debian linux	Versi 11.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.