CVE-2026-103475

KrytyczneCVSS 9.1

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

yii2-starter-kit do wersji 4.2.0 włącznie udostępnia moduły debug i Gii Yii dla wszystkich adresów IP, ustawiając allowedIPs na ['*'] w domyślnej konfiguracji deweloperskiej. Nieuwierzytelnieni zdalni atakujący mogą uzyskać dostęp do punktu końcowego debugowania, aby odczytać wrażliwe dane, w tym ciasteczka sesji i zapytania do bazy danych, lub uzyskać dostęp do punktu końcowego Gii, aby generować i zapisywać pliki PHP w katalogu aplikacji.

Ocena ryzyka

Ryzyko obejmuje ujawnienie wrażliwych danych, takich jak ciasteczka sesji i zapytania do bazy danych, oraz możliwość zdalnego wykonania kodu poprzez zapis plików PHP, co może prowadzić do pełnego przejęcia aplikacji.

Rekomendacja

Zaleca się zmianę konfiguracji deweloperskiej yii2-starter-kit, aby ograniczyć dostęp do modułów debug i Gii tylko do zaufanych adresów IP, oraz rozważenie aktualizacji do nowszej wersji, jeśli dostępna.

Inne podatności w yii2-starter-kit

CVE-2026-103474Wysokie
yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.

Oryginalny opis (angielski, źródło NVD)

yii2-starter-kit through 4.2.0 exposes the Yii debug and Gii modules to all IP addresses by setting allowedIPs to ['*'] in its default development configuration. Unauthenticated remote attackers can access the debug endpoint to read sensitive data including session cookies and database queries, or access the Gii endpoint to generate and write PHP files into the application directory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS