TwigView für CakePHP: Deserialisierung nicht vertrauenswürdiger Daten im unserialize-Filter

Zusammenfassung

Das TwigView-Plugin für CakePHP stellt die PHP-Funktion unserialize als Twig-Template-Filter bereit, ohne einzuschränken, welche Klassen instanziiert werden dürfen. Ein Angreifer, der die an diesen Filter übergebenen Daten beeinflussen kann, kann vorhandene Gadget-Klassen der Anwendung nutzen, um Code auszuführen. Der CNA bewertet die Schwachstelle mit CVSS 4.0 6.9 (Mittel); das Herstelleradvisory beschreibt sie als Gadget für Deserialisierungs-RCE, und die Ausnutzung hängt von den in der Anwendung vorhandenen Gadgets ab.

Betroffen

• TwigView-Versionen vor 1.3.3
• TwigView-Versionen ab 2.0.0 bis vor 2.1.2
• Aikido nennt einen breiteren Bereich (1.0.0 bis 1.3.2 und 2.0.0 bis 2.1.1); prüfen Sie die installierte Version.

Behoben in

• Version 1.3.3
• Version 2.1.2

Umgehung

• Den unserialize-Filter in Templates nicht verwenden. Templates zuerst auf dessen Verwendung durchsuchen.
• Eine andere Workaround-Massnahme ist nicht bekannt.

Ausnutzung

• Gemäss OffSeq ist keine Ausnutzung in freier Wildbahn bekannt.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• Unbekannt, ob die Schwachstelle im CISA-KEV-Katalog aufgeführt ist.

Unsere Empfehlung

• In composer.lock-Dateien nach cakephp/twig-view suchen und betroffene Versionen identifizieren.
• Templates auf die Verwendung des unserialize-Filters prüfen. Falls ungenutzt, dies dokumentieren und das Update planen.
• Auf 1.3.3 oder 2.1.2 aktualisieren, vorher testen, da der Fix Templates brechen kann, die PHP-Objekte deserialisieren.
• Prüfen, ob die Anwendung aus dem Internet erreichbar ist und ob nicht vertrauenswürdige Daten Templates erreichen können.
• CVE-2026-59191 (Path Traversal im selben Release) gleichzeitig patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-48qj-5wxh-m8hc github.com
• Fix commit 99a5940 github.com
• Pull Request #119 github.com
• Release 1.3.3 github.com
• Release 2.1.2 github.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:56.