CVE-2026-103475
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
yii2-starter-kit do wersji 4.2.0 włącznie udostępnia moduły debug i Gii Yii dla wszystkich adresów IP, ustawiając allowedIPs na ['*'] w domyślnej konfiguracji deweloperskiej. Nieuwierzytelnieni zdalni atakujący mogą uzyskać dostęp do punktu końcowego debugowania, aby odczytać wrażliwe dane, w tym ciasteczka sesji i zapytania do bazy danych, lub uzyskać dostęp do punktu końcowego Gii, aby generować i zapisywać pliki PHP w katalogu aplikacji.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych, takich jak ciasteczka sesji i zapytania do bazy danych, oraz możliwość zdalnego wykonania kodu poprzez zapis plików PHP, co może prowadzić do pełnego przejęcia aplikacji.
Rekomendacja
Zaleca się zmianę konfiguracji deweloperskiej yii2-starter-kit, aby ograniczyć dostęp do modułów debug i Gii tylko do zaufanych adresów IP, oraz rozważenie aktualizacji do nowszej wersji, jeśli dostępna.
Inne podatności w yii2-starter-kit
Zobacz wszystkie- CVE-2026-103476Średnie
yii2-starter-kit do wersji 4.2.0 nie weryfikuje statusu publikacji artykułu w punkcie końcowym pobierania załączników, co pozwala nieuwierzytelnionym atakującym pobierać pliki z wersji roboczych artykułów. Atakujący mogą enumerować sekwencyjne identyfikatory załączników, aby uzyskać dostęp do plików z niepublikowanych artykułów bez uwierzytelnienia i autoryzacji.
- CVE-2026-103474Wysokie
yii2-starter-kit do wersji 4.2.0 nie waliduje typów plików w akcjach przesyłania plików w backendzie, co pozwala uwierzytelnionym menedżerom na przesyłanie plików PHP. Atakujący z rolą menedżera może przesłać skrypty PHP do katalogu dostępnego z sieci i wykonać dowolny kod na serwerze.
Oryginalny opis (angielski, źródło NVD)
yii2-starter-kit through 4.2.0 exposes the Yii debug and Gii modules to all IP addresses by setting allowedIPs to ['*'] in its default development configuration. Unauthenticated remote attackers can access the debug endpoint to read sensitive data including session cookies and database queries, or access the Gii endpoint to generate and write PHP files into the application directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS