CVE-2026-39850
WysokieStreszczenie
Yii 2 to framework aplikacji PHP, w wersjach 2.0.54 i wcześniejszych występuje błąd logiczny w metodzie renderowania widoków View::renderPhpFile(), który prowadzi do lokalnego włączenia plików (LFI). Zmienna kontrolowana przez wywołującego może nadpisać wewnętrzną zmienną określającą, który plik ma być dołączony.
Ocena ryzyka
Organizacja może być narażona na zdalne wykonanie kodu (RCE) oraz ujawnienie informacji, jeśli atakujący ma możliwość zapisu plików PHP przez inne mechanizmy.
Rekomendacja
Zaleca się aktualizację do wersji 2.0.55 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Yii 2 is a PHP application framework. Versions 2.0.54 and prior contain flawed logic in the core view rendering method View::renderPhpFile() that leads to Local File Inclusion. The function calls extract($_params_, EXTR_OVERWRITE) before the require statement that loads the view file. As a result, a caller-controlled _file_ key in the $params array overwrites the internal local variable specifying which file to include, potentially enabling RCE if an attacker can write PHP files through a separate primitive, as well as information disclosure. This issue has been fixed in version 2.0.55.