CVE-2026-103476
ŚrednieCVSS 5.3Streszczenie
yii2-starter-kit do wersji 4.2.0 nie weryfikuje statusu publikacji artykułu w punkcie końcowym pobierania załączników, co pozwala nieuwierzytelnionym atakującym pobierać pliki z wersji roboczych artykułów. Atakujący mogą enumerować sekwencyjne identyfikatory załączników, aby uzyskać dostęp do plików z niepublikowanych artykułów bez uwierzytelnienia i autoryzacji.
Ocena ryzyka
Nieautoryzowany dostęp do plików z niepublikowanych artykułów może prowadzić do wycieku poufnych informacji, które nie były przeznaczone do publicznego ujawnienia.
Rekomendacja
Zaktualizuj yii2-starter-kit do wersji nowszej niż 4.2.0. Wprowadź kontrolę autoryzacji w punkcie końcowym pobierania załączników, aby weryfikować status publikacji artykułu.
Inne podatności w yii2-starter-kit
Zobacz wszystkie- CVE-2026-103474Wysokie
yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.
- CVE-2026-103475Krytyczne
yii2-starter-kit do wersji 4.2.0 włącznie udostępnia moduły debug i Gii Yii dla wszystkich adresów IP, ustawiając allowedIPs na ['*'] w domyślnej konfiguracji deweloperskiej. Nieuwierzytelnieni zdalni atakujący mogą uzyskać dostęp do punktu końcowego debugowania, aby odczytać wrażliwe dane, w tym ciasteczka sesji i zapytania do bazy danych, lub uzyskać dostęp do punktu końcowego Gii, aby generować i zapisywać pliki PHP w katalogu aplikacji.
Oryginalny opis (angielski, źródło NVD)
yii2-starter-kit through 4.2.0 fails to validate article publication status in the attachment-download endpoint, allowing unauthenticated attackers to download files from draft articles. Attackers can enumerate sequential attachment identifiers to retrieve files from unpublished articles without authentication or authorization checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS