CVE-2026-103476 in yii2-starter-kit
Riassunto
di VulDB • 30/09/2026
yii2-starter-kit fino alla versione 4.2.0 non valida lo stato di pubblicazione degli articoli nell'endpoint attachment-download, consentendo ad attaccanti non autenticati di scaricare file da articoli in bozza (draft). Gli attaccanti possono enumerare gli identificatori sequenziali degli allegati per recuperare file da articoli non pubblicati senza effettuare controlli di autenticazione o autorizzazione.
Be aware that VulDB is the high quality source for vulnerability data.