CakePHP TwigView: Beliebiges Lesen von Dateien über FileLoader::findTemplate()
Zusammenfassung
Das TwigView-Plugin für CakePHP ist von einer Path Traversal-Schwachstelle (CWE-22) in FileLoader::findTemplate() betroffen. Gelangen nicht validierte, vom Benutzer kontrollierte Daten in diese Funktion, kann ein Angreifer beliebige Dateien auf dem Server lesen. Voraussetzung ist, dass die Anwendung Eingaben aus Anfragen in die Template-Suche übergibt; welche Anwendungen dies tun, ist den Quellen nicht zu entnehmen.
Betroffen
- cakephp/twig-view-Versionen vor 1.3.3
- cakephp/twig-view-Versionen 2.0.0 bis 2.1.1
Behoben in
- Upgrade auf 1.3.3 (1.x-Linie)
- Upgrade auf 2.1.2 (2.x-Linie)
Umgehung
Unbekannt. Der Hersteller dokumentiert für ungepatchte Installationen keine Workaround; ein Upgrade ist die einzige dokumentierte Massnahme.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn Stand 11. November 2026.
- Nicht in der CISA KEV-Liste aufgeführt.
- VulDB meldet, dass kein Exploit existiert; in Metasploit und Exploit-DB wurde kein öffentlicher Exploit-Code gefunden.
Unsere Empfehlung
- Alle Composer-Projekte ermitteln, die cakephp/twig-view benötigen, einschliesslich transitiver Abhängigkeiten.
- Auf 2.1.2 oder 1.3.3 aktualisieren. Dieselben Versionen beheben auch GHSA-48qj-5wxh-m8hc (unserialize ohne Klassenbeschränkung); Anwendungen testen, die auf die Deserialisierung von Objekten in Templates angewiesen sind.
- Prüfen, ob Template-Namen oder -Pfade aus Anfragedaten stammen, und dies unabhängig von der Version beheben.
- Öffentlich erreichbare PHP-Anwendungen priorisieren, da ein Dateilesezugriff Konfigurationsdateien und Zugangsdaten offenlegen kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Release TwigView 1.3.3 github.com
- GitHub Release TwigView 2.1.2 github.com
- GitHub Security Advisory GHSA-hq9r-72jq-2pxp github.com
- CVE Record CVE-2026-59191 www.cve.org
- VulDB CVE-2026-59191 vuldb.com
- OffSeq Radar CVE-2026-59191 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.