There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Twig is a template language for PHP. From 3.24.0 until 3.26.0, object-destructuring assignment compiles
    CoreExtension::getAttribute() with the sandbox argument hardcoded to false, disabling property and method
    policy checks and allowing an attacker with write access to a sandboxed Twig template to read public
    properties or invoke public getters on objects passed to the template engine. This issue is fixed in
    version 3.26.0. (CVE-2026-46639)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Twig 是一種適用於 PHP 的範本語言。從 3.24.0 until 3.26.0，物件解構指派會編譯 CoreExtension：：getAttribute（），並將沙箱引數硬式編碼為 false，從而停用屬性和方法原則檢查，並允許對沙箱 Twig 範本具有寫入權限的攻擊者讀取公用屬性，或在傳遞給範本引擎的物件上叫用公用 getter。3.26.0 版已修正此問題。(CVE-2026-46639)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Twig 是一种用于 PHP 的模板语言。From 3.24.03.26.0until ， 对象解构分配会使用硬编码为 false 的沙盒参数编译 CoreExtension：：getAttribute（），从而禁用属性和方法策略检查，并允许具有沙盒 Twig 模板写入访问权限的攻击者读取公共属性或对传递到模板引擎的对象调用公共 getter。此问题已在 3.26.0 版本中修复。(CVE-2026-46639)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Twig は、PHP 用のテンプレート言語です。3.24.0から3.26.0まで、オブジェクトデストラクチャリング割り当ては、falseにハードコードされたサンドボックス引数でCoreExtension::getAttribute()をコンパイルし、プロパティとメソッドのポリシーチェックを無効にし、サンドボックス化されたTwigテンプレートへの書き込みアクセス権を持つ攻撃者がパブリックプロパティを読み取ったり、テンプレートエンジンに渡されたオブジェクトのパブリックゲッターを呼び出したりする可能性があります。この問題はバージョン 3.26.0 で修正されています。(CVE-2026-46639)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Twig is a template language for PHP. From 3.24.0 until 3.26.0, object-destructuring assignment compiles     CoreExtension::getAttribute() with the sandbox argument hardcoded to false, disabling property and method     policy checks and allowing an attacker with write access to a sandboxed Twig template to read public     properties or invoke public getters on objects passed to the template engine. This issue is fixed in     version 3.26.0. (CVE-2026-46639)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
442275	SCA: security update for twig/twig (GHSA-mm6w-gr99-p3jj)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/22	2026/7/20	high
442275	SCA: security update for twig/twig (GHSA-mm6w-gr99-p3jj)	Tenable Cloud Security	SCA Checks	2026/5/22	2026/7/20	high
316511	Linux Distros 未修補弱點：CVE-2026-46639	Nessus	Misc.	2026/5/22	2026/10/16	high
316511	Linux Distros 未修补的漏洞：CVE-2026-46639	Nessus	Misc.	2026/5/22	2026/10/16	high
316511	Linux Distros のパッチ未適用の脆弱性: CVE-2026-46639	Nessus	Misc.	2026/5/22	2026/10/16	high
316511	Linux Distros Unpatched Vulnerability : CVE-2026-46639	Nessus	Misc.	2026/5/22	2026/10/16	high

偵測

搜尋 Plugin

high

high

high

high

high

high