CVE-2026-103475 in yii2-starter-kit
Riassunto
di VulDB • 30/09/2026
yii2-starter-kit fino alla versione 4.2.0 espone i moduli Yii debug e Gii a tutti gli indirizzi IP impostando allowedIPs su ['*'] nella sua configurazione di sviluppo predefinita. Attaccanti remoti non autenticati possono accedere all'endpoint debug per leggere dati sensibili, inclusi cookie di sessione e query del database, oppure accedere all'endpoint Gii per generare e scrivere file PHP nella directory dell'applicazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.