CVE-2022-23614
Injeção de código no Twig
- Publicado
- 4 de fev. de 2022
- Atualizado
- 23 de abr. de 2025
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 94,8%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Twig é uma linguagem de templates open source para PHP. Quando em modo sandbox, o parâmetro `arrow` do filtro `sort` deve ser uma closure para evitar que atacantes consigam executar funções PHP arbitrárias. Nas versões afetadas, essa restrição não foi aplicada corretamente e poderia levar à injeção de código PHP arbitrário. As versões corrigidas agora proíbem a chamada de não Closure no filtro `sort`, como já é o caso de alguns outros filtros. Recomenda-se que os usuários atualizem.
Fontes
Prova de conceito para CVE-2022-23614 (injeção de comando no Twig)
Exploit de prova de conceito para CVE-2022-23614 demonstrando execução de código arbitrário via bypass do sandbox do filtro sort do Twig em aplicações PHP.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.