CVE-2026-103474

WysokieCVSS 8.8

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.

Ocena ryzyka

Osoba z rolą menedżera może wykonać złośliwy kod na serwerze, co może prowadzić do pełnego przejęcia aplikacji i danych.

Rekomendacja

Zaktualizuj yii2-starter-kit do wersji nowszej niż 4.2.0, która zawiera poprawkę bezpieczeństwa.

Inne podatności w yii2-starter-kit

CVE-2026-103475Krytyczne
yii2-starter-kit do wersji 4.2.0 włącznie udostępnia moduły debug i Gii Yii dla wszystkich adresów IP, ustawiając allowedIPs na ['*'] w domyślnej konfiguracji deweloperskiej. Nieuwierzytelnieni zdalni atakujący mogą uzyskać dostęp do punktu końcowego debugowania, aby odczytać wrażliwe dane, w tym ciasteczka sesji i zapytania do bazy danych, lub uzyskać dostęp do punktu końcowego Gii, aby generować i zapisywać pliki PHP w katalogu aplikacji.

Oryginalny opis (angielski, źródło NVD)

yii2-starter-kit through 4.2.0 fails to validate file types in the backend storage upload actions, allowing authenticated managers to upload PHP files. Attackers with manager role can upload PHP scripts to the web-accessible storage directory and request them to execute arbitrary code on the server.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS