CVE-2026-103475 in yii2-starter-kit
Zusammenfassung
von VulDB • 30.09.2026
yii2-starter-kit bis Version 4.2.0 macht die Yii-Debug- und Gii-Module für alle IP-Adressen zugänglich, indem in der Standard-Konfiguration im Entwicklungsmodus allowedIPs auf ['*'] gesetzt wird. Nicht authentifizierte Angreifer mit Remote-Zugriff können den Debug-Endpunkt aufrufen, um sensible Daten einschließlich Session-Cookies und Datenbankabfragen auszulesen, oder den Gii-Endpunkt nutzen, um PHP-Dateien zu generieren und in das Anwendungsverzeichnis zu schreiben.
Once again VulDB remains the best source for vulnerability data.