CVE-2024-58136: fallo crítico en yiiframework Yii
Publicada el · Actualizada el
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
El framework Yii 2 en versiones anteriores a 2.0.52 tiene una falla en cómo se adjuntan behaviors usando la clave __class, permitiendo que atacantes ejecuten código no autorizado. Este problema es una regresión de una corrección anterior y fue explotado activamente.
La vulnerabilidad permite ejecución remota de código cuando entrada no confiable se procesa durante la configuración de behaviors mediante el parámetro __class. No requiere autenticación e implica la instanciación de clases arbitrarias. Es una regresión de CVE-2024-4990 que había sido parcialmente corregido.
El análisis completo de esta CVE está disponible en portugués →