PT-2022-26152 · Yii · Yiisoft/Yii

Fi3Wey · Publicado 2022-11-21 · Atualizado 2022-11-30 · CVE-2022-41922

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do yiisoft/yii anteriores à 1.1.27

Descrição

A vulnerabilidade permite a execução remota de código (RCE) se a aplicação chamar unserialize() em entradas arbitrárias do usuário.

Recomendações

Para versões anteriores à 1.1.27, atualize o yiisoft/yii para a versão 1.1.27 ou superior. Como solução temporária, considere evitar o uso de unserialize() em entradas arbitrárias do usuário até que um patch seja aplicado. Restrinja o acesso a entradas do usuário que possam ser usadas para explorar esta vulnerabilidade, a fim de minimizar o risco de exploração.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-41922

GHSA-442F-WCWQ-FPCF

Produtos afetados

Yiisoft/Yii

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41922.json · Exploit
• https://github.com/yiisoft/yii/security/advisories/GHSA-442f-wcwq-fpcf · Nota
• https://github.com/yiisoft/yii/commit/ed67b7cc57216557c5c595c6650cdd2d3aa41c52 · Correção
• https://github.com/yiisoft/yii · Nota
• https://osv.dev/vulnerability/CVE-2022-41922 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41922 · Nota de Segurança
• https://t.me/cibsecurity/53441 · Publicação no Telegram
• https://t.me/cvenotify/38341 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-442f-wcwq-fpcf · Aviso do Fabricante