Aktywnie wykorzystywana w atakach

Yiiframework Yii Improper Protection of Alternate Path Vulnerability

Yiiframework - Yii · Figuruje w katalogu CISA KEV od 2025-05-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2024-58136

KrytyczneCVSS 9.0KEV

Opublikowano: 10/04/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Yii 2 przed wersją 2.0.52 nieprawidłowo obsługuje dołączanie behavior zdefiniowanego przez klucz tablicy __class, co jest regresją CVE-2024-4990, wykorzystywaną w środowisku naturalnym od lutego do kwietnia 2025.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do nieautoryzowanych działań w aplikacjach opartych na Yii 2, co może prowadzić do naruszenia bezpieczeństwa aplikacji.

Rekomendacja

Zaleca się aktualizację Yii 2 do wersji 2.0.52 lub nowszej oraz monitorowanie systemów pod kątem oznak wykorzystania tej podatności.

Inne podatności w Yii 2

CVE-2026-39850Wysokie
Podatność Local File Inclusion (LFI) w Yii 2 (wersje do 2.0.54). Funkcja View::renderPhpFile() nadpisuje zmienną wewnętrzną _file_ przez extract(), co pozwala na wczytanie dowolnego pliku, potencjalnie prowadząc do RCE lub wycieku informacji.

Oryginalny opis (angielski, źródło NVD)

Yii 2 before 2.0.52 mishandles the attaching of behavior that is defined by an __class array key, a CVE-2024-4990 regression, as exploited in the wild in February through April 2025.