9.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
yii2-starter-kit through 4.2.0 exposes the Yii debug and Gii modules to all IP addresses by setting allowedIPs to ['*'] in its default development configuration. Unauthenticated remote attackers can access the debug endpoint to read sensitive data including session cookies and database queries, or access the Gii endpoint to generate and write PHP files into the application directory.
Засегнати продукти
- yii2-starter-kit yii2-starter-kit: до 4.2.0
Вид слабост
История
- 30 септември 2026 Публикувано
Други уязвимости в yii2-starter-kit yii2-starter-kit
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-103475
- https://nvd.nist.gov/vuln/detail/CVE-2026-103475
- https://github.com/yii-starter-kit/yii2-starter-kit/issues/797
- https://github.com/yii-starter-kit/yii2-starter-kit
- https://github.com/yii-starter-kit/yii2-starter-kit/blob/cc2c451e8c959c7300b04efea597706a38609f58/common/config/web.php#L21
- https://www.vulncheck.com/advisories/yii2-starter-kit-through-4.2.0-debug-and-gii-module-exposure