CVE-2026-103474
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 52 - wyżej niż 52% wszystkich znanych CVE
Streszczenie
yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.
Ocena ryzyka
Osoba z rolą menedżera może wykonać złośliwy kod na serwerze, co może prowadzić do pełnego przejęcia aplikacji i danych.
Rekomendacja
Zaktualizuj yii2-starter-kit do wersji nowszej niż 4.2.0, która zawiera poprawkę bezpieczeństwa.
Inne podatności w yii2-starter-kit
Zobacz wszystkie- CVE-2026-103475Krytyczne
yii2-starter-kit do wersji 4.2.0 włącznie udostępnia moduły debug i Gii Yii dla wszystkich adresów IP, ustawiając allowedIPs na ['*'] w domyślnej konfiguracji deweloperskiej. Nieuwierzytelnieni zdalni atakujący mogą uzyskać dostęp do punktu końcowego debugowania, aby odczytać wrażliwe dane, w tym ciasteczka sesji i zapytania do bazy danych, lub uzyskać dostęp do punktu końcowego Gii, aby generować i zapisywać pliki PHP w katalogu aplikacji.
- CVE-2026-103476Średnie
yii2-starter-kit do wersji 4.2.0 nie weryfikuje statusu publikacji artykułu w punkcie końcowym pobierania załączników, co pozwala nieuwierzytelnionym atakującym pobierać pliki z wersji roboczych artykułów. Atakujący mogą enumerować sekwencyjne identyfikatory załączników, aby uzyskać dostęp do plików z niepublikowanych artykułów bez uwierzytelnienia i autoryzacji.
Oryginalny opis (angielski, źródło NVD)
yii2-starter-kit through 4.2.0 fails to validate file types in the backend storage upload actions, allowing authenticated managers to upload PHP files. Attackers with manager role can upload PHP scripts to the web-accessible storage directory and request them to execute arbitrary code on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS