Yii 2 w wersjach przed 2.0.52 nieprawidłowo obsługuje dołączanie behavior zdefiniowanego przez klucz tablicy __class, co stanowi regresję wcześniej naprawionej podatności CVE-2024-4990. Luka jest aktywnie wykorzystywana w środowiskach produkcyjnych i pozwala zdalnym atakującym na wykonanie dowolnego kodu.
▸ Pokaż oryginał (EN)
Yii 2 before 2.0.52 mishandles the attaching of behavior that is defined by an __class array key, a CVE-2024-4990 regression, as exploited in the wild in February through April 2025.
Framework Yii 2 umożliwia dynamiczne dołączanie behavior do komponentów poprzez konfigurację tablicową zawierającą specjalny klucz __class. Na skutek regresji wprowadzonej po poprawce CVE-2024-4990 mechanizm przetwarzania tej konfiguracji ponownie zawiera błąd, który pozwala atakującemu na podstawienie złośliwej klasy. Nieuwierzytelniony napastnik sieciowy może zdalnie dostarczyć spreparowane dane wejściowe, co prowadzi do niekontrolowanego instancjonowania obiektów i wykonania kodu po stronie serwera.
Atakujący może uzyskać pełną kontrolę nad serwerem aplikacji — osiągnąć zdalne wykonanie kodu (RCE), uzyskać dostęp do poufnych danych oraz trwale naruszyć integralność i dostępność systemu.
Należy niezwłocznie zaktualizować Yii 2 do wersji 2.0.52 lub nowszej. Poprawka dostępna jest w repozytorium projektu (commit 40fe496) oraz opisana w oficjalnym komunikacie producenta pod adresem https://www.yiiframework.com/news/709/please-upgrade-to-yii-2-0-52
Yii 2 w wersjach przed 2.0.52 (Yiiframework Yii)
Podatność była aktywnie exploitowana w środowiskach produkcyjnych w okresie od lutego do kwietnia 2025 roku, co zostało odnotowane zarówno w opisie CVE, jak i potwierdzone przez CISA KEV. Jest to regresja wcześniej naprawionej podatności CVE-2024-4990.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HYiiframework Yii
APPYiiframework< 2.0.52
CISA KEV — szczegółyi
- Dostawcai
- Yiiframework
- Produkti
- Yii
- Data dodania do KEVi
- 2 maja 2025
- Termin remediation (USA)i
- 23 maja 2025(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług w chmurze, lub zaprzestań korzystania z produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Framework Yii zawiera lukę w niewłaściwej ochronie ścieżek alternatywnych, która może pozwolić zdalnym atakującym na wykonanie dowolnego kodu. Ta luka może wpływać na inne produkty implementujące Yii, w tym—ale nie ograniczając się do—Craft CMS, co reprezentowane jest przez CVE-2025-32432.
▸ Pokaż oryginał (EN)
Yii Framework contains an improper protection of alternate path vulnerability that may allow a remote attacker to execute arbitrary code. This vulnerability could affect other products that implement Yii, including—but not limited to—Craft CMS, as represented by CVE-2025-32432.
Powiązane podatności
Yii2: Instantiacja dowolnych klas przez metodę __set() w klasie Component
web\ViewAction in Yii (aka Yii2) 2.x before 2.0.5 allows attackers to execute any local .php file via a relati...
SQL injection vulnerability found in Yii Framework Yii 2 Framework before v.2.0.47 allows the a remote attacke...
Yii 2.x before 2.0.15 allows remote attackers to execute arbitrary LUA code via a variant of the CVE-2018-7269...
The findByCondition function in framework/db/ActiveRecord.php in Yii 2.x before 2.0.15 allows remote attackers...