Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-46637 medium CVSS 5.4

Vulnérabilité dans twig/markdown-extra (CVE-2026-46637)

Résumé

Vulnérabilité dans twig/markdown-extra (CVE-2026-46637). Risque d'opérations non autorisées ou de divulgation. Exploitable via html. Atténuation : mise à jour vers 3.26.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Description

Several filters in the twig/* extras packages are registered with is_safe => ['all'], which tells Twig's autoescaper to treat their output as safe in every context (html, js, css, url, ...). The output of these filters is plain text or HTML markup, neither of which is safe in every escaping context.

Affected filters:

  • html_to_markdown (twig/markdown-extra) emits plain Markdown text. league/html-to-markdown decodes HTML entities when producing code spans and fenced blocks, so an attacker-controlled <img src=x onerror=alert(1)> becomes ``, which renders live when interpolated into an HTML page.
  • markdown_to_html (twig/markdown-extra) emits HTML. Safe in an HTML context but not in JS, CSS or URL contexts (e.g. when interpolated into an inline `` block).
  • inline_css (twig/cssinliner-extra) emits HTML with inlined styles. Same constraint as markdown_to_html.

In all three cases, is_safe => ['all'] causes the autoescaper to emit the output verbatim in any context, even when the developer never wrote |raw. In a context such as a JS string or a URL parameter, this produces unescaped HTML and is exploitable as XSS.

Resolution

  • html_to_markdown no longer claims to be safe in any escaping context; its plain-text output is now autoescaped for the surrounding context.
  • markdown_to_html and inline_css are now declared is_safe => ['html'], asserting only what they actually guarantee.

Credits

Twig would…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-46637 a été découverte dans twig/markdown-extra.
Des attaquants peuvent cibler un point d'entrée spécifique comme html à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.4/10.
Action : mettez à jour twig/markdown-extra vers 3.26.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « twig/markdown-extra CVE-2026-46637 » sur le site de l'éditeur.

CVE-2026-46637 (twig/markdown-extra) — CWE-116 / CVSS v3 5.4
Vecteur d'attaque : distant (réseau)
Surface d'attaque : html / css / url / html_to_markdown
Correctif : 3.26.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-116) affecte twig/markdown-extra. Les attaquants atteignent le code vulnérable via html.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de twig/markdown-extra. Surface d'attaque : html / css / url / html_to_markdown.

🔥 Gravité

Gravité : Moyenne (CVSS 5.4/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 3.26.0.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'twig/markdown-extra' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で twig/markdown-extra を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade twig/markdown-extra to 3.26.0

    ステージング環境で 3.26.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

composer twig/markdown-extra
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.26.0"}]}]
composer twig/cssinliner-extra
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.26.0"}]}]
Packagist twig/markdown-extra
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.26.0"}]}]
Packagist twig/cssinliner-extra
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.26.0"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus