Yii2 Gii · Yii2 Gii · CVE-2022-34297
**Nome do software vulnerável e versões afetadas**
Versões do Yii2 Gii até a 2.2.4
**Descrição**
A vulnerabilidade permite um ataque XSS armazenado (stored XSS) por meio da injeção de uma carga maliciosa em qualquer campo. Alguns campos, como “Categoria da mensagem” no Gerador de Modelos, no Gerador CRUD ou no Gerador de Formulários, e “Nome do autor” no Gerador de Extensões, são armazenados em cache sem a sanitização de seu conteúdo quando o botão “Visualizar” é pressionado. Isso leva à possibilidade de injetar JavaScript malicioso em páginas específicas, colocando-o nos campos mencionados e armazenando-o em cache ao pressionar o botão “Visualizar”. Em cada visita subsequente às páginas específicas, o JavaScript malicioso será carregado do servidor e executado no navegador do cliente.
**Recomendações**
Para versões até a 2.2.4, como solução temporária, considere desativar a funcionalidade do botão “Visualizar” nos geradores afetados até que um patch esteja disponível. Restrinja o acesso ao mecanismo de armazenamento em cache para os campos especificados a fim de minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.