PT-2026-39402 · Unknown · Yii Framework

Khuroohamid · Publicado 2026-05-09 · Atualizado 2026-05-20 · CVE-2026-39850

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Yii Framework versões anteriores a 2.0.55

Description Variáveis internas nas funções View::renderPhpFile() e ErrorHandler::renderFile() não estão isoladas, o que pode levar a colisões de parâmetros que permitem a sobreposição de caminhos de arquivos incluídos.

Recommendations Atualizar para a versão 2.0.55.

Correção

RCE

Enumeração de Fraquezas

CWE-20

CWE-98

Identificadores relacionados

CVE-2026-39850

GHSA-5VPG-RJ7Q-QPW2

Produtos afetados

Yii Framework

Referências · 8

• https://github.com/yiisoft/yii2/releases/tag/2.0.55 · Nota
• https://github.com/yiisoft/yii2/security/advisories/GHSA-5vpg-rj7q-qpw2 · Nota
• https://github.com/yiisoft/yii2/commit/109878b491dbffa541032bc99fb5e26d12cd0375 · Nota
• https://github.com/yiisoft/yii2 · Nota
• https://reddit.com/r/PHP/comments/1t88bz1/yii2_2055_released_with_security_fix_for · Publicação no Reddit
• https://twitter.com/Terabytesoftw/status/2053133870103412974 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5vpg-rj7q-qpw2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39850 · Nota de Segurança