CVE-2024-32877

Yii 2 bir PHP uygulama çatısıdır. Yii2 tabanlı bir ürünün dahili sızma testi sırasında, kullanıcılar çatı içerisinde bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti keşfetmiştir. Bu sorun, Yii2'nin son sürümü (2.0.49.3) için geçerlidir. Sorun, yığın izleme (stack trace) sırasında fonksiyon argüman değerlerinin görüntülenme mekanizmasında yer almaktadır. Zafiyet, bir argümanın değeri 32 karakteri aştığında ortaya çıkmaktadır. Kolaylık sağlamak amacıyla, bu sınırı aşan argüman değerleri kırpılmakta ve sonuna "..." eklenerek görüntülenmektedir. Tam argüman değeri, bir span etiketinin title özniteliğinde görüntülendiği için fare ile üzerine gelindiğinde görünür hale gelmektedir. Ancak, çift tırnak (") kullanımı, bir saldırganın title özniteliğinin değer bağlamından çıkmasına ve onmousemove gibi olay işleyicileri aracılığıyla kötü amaçlı JavaScript kodu dahil olmak üzere kendi özniteliklerini span etiketine enjekte etmesine olanak tanımaktadır. Bu zafiyet, bir saldırganın özel olarak hazırlanmış bir bağlantı aracılığıyla kurbanın sitesinin güvenlik bağlamında rastgele JavaScript kodu çalıştırmasına izin verir. Bu durum; çerezlerin çalınmasına (sayfada erişilebilir olan httpOnly çerezler dahil), içerik değiştirilmesine veya kullanıcı hesaplarının tamamen ele geçirilmesine yol açabilir. Bu sorun 2.0.50 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.