CVE-2024-4990
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
Les applications utilisant le framework Yii2 (version 2.0.48) sont affectées par une faille dans la manière dont le système gère les propriétés des objets. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette vulnérabilité pour instancier des classes arbitraires sur votre serveur, ce qui peut mener à l'exécution complète de code à distance ou au vol de données sensibles. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In yiisoft/yii2 version 2.0.48, the base Component class contains a vulnerability where the `__set()` magic method does not validate that the value passed is a valid Behavior class name or configuration. This allows an attacker to instantiate arbitrary classes, passing parameters to their constructors and invoking setter methods. Depending on the installed dependencies, various types of attacks are possible, including the execution of arbitrary code, retrieval of sensitive information, and unauthorized access.