CVE-2026-39850

Yii 2 bir PHP uygulama çatısıdır. 2.0.54 ve önceki sürümler, çekirdek görünüm oluşturma yöntemi olan View::renderPhpFile() içerisinde Local File Inclusion ile sonuçlanan hatalı bir mantık içermektedir. Fonksiyon, görünüm dosyasını yükleyen require ifadesinden önce extract($_params_, EXTR_OVERWRITE) işlemini çağırmaktadır. Sonuç olarak, $params dizisindeki çağırıcı tarafından kontrol edilen _file_ anahtarı, hangi dosyanın dahil edileceğini belirten dahili yerel değişkenin üzerine yazar; bu durum, saldırganın ayrı bir yöntemle PHP dosyaları yazabilmesi halinde potansiyel olarak RCE'ye ve bilgi ifşasına yol açabilir. Bu sorun 2.0.55 sürümünde düzeltilmiştir.