CVE-2026-39850
Təsvir
Yii 2 PHP tətbiqi freymvorkudur. Versiya 2.0.54 və daha əvvəlki versiyalarda əsas görünüş renderləmə metodu olan View::renderPhpFile()-da Local File Inclusion-a səbəb olan qüsurlu məntiq mövcuddur. Funksiya, görünüş faylını yükləyən require ifadəsindən əvvəl extract($_params_, EXTR_OVERWRITE) funksiyasını çağırır. Nəticədə, $params massivində çağıran tərəfindən idarə olunan _file_ açarı hansı faylın daxil ediləcəyini təyin edən daxili lokal dəyişəni overwrite edir. Bu, hücumçunun ayrıca bir primitiv vasitəsilə PHP fayllarını yaza bilməsi halında uzaqdan kodun icrasına (RCE), həmçinin məlumat sızmasına şərait yarada bilər. Bu problem 2.0.55 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- yiisoft/yii22.0.55 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| yiisoft/yii2Packagist | v < 2.0.55 | 2.0.55 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.