CVE-2024-4990

yiisoft/yii2 sürüm 2.0.48'de, temel Component sınıfı, `__set()` sihirli metodunun iletilen değerin geçerli bir Behavior sınıf adı veya yapılandırması olduğunu doğrulamadığı bir güvenlik açığı içermektedir. Bu durum, bir saldırganın rastgele sınıfları örneklendirmesine, kurucu metodlarına parametreler geçirmesine ve setter metodlarını çağırmasına olanak tanır. Yüklü bağımlılıklara bağlı olarak; rastgele kod çalıştırma, hassas bilgilerin ele geçirilmesi ve yetkisiz erişim dahil olmak üzere çeşitli saldırı türleri mümkündür.