CVE-2026-23498: Shopware の Twig レンダリングビューにおけるコード生成の不適切な制御

概要

CVE-2023-2017 の修正により、Twig フィルタは許可された関数でのみ実行されるようになりました。しかし、リグレッションが発生し、map(...) オーバーライドに対して許可リストでチェックされない配列、および配列から作成された PHP Closure が存在していました。

6.7.6.1 でパッチ適用済み

セキュリティプラグインをインストールしてください

本 CVE は、協調的な脆弱性開示の慣行に従って責任を持って開示されました。ここに記載されている情報は、教育および防御目的のみを目的としています。