CVE-2026-39850
Publiée le 2026-05-20 · Dernière modification le 2026-07-23
Les applications web conçues avec le framework PHP Yii 2 (version 2.0.54 et antérieures) sont vulnérables à l'inclusion de fichiers locaux. Un attaquant distant non authentifié peut tromper le serveur pour lui faire charger des fichiers non prévus, ce qui peut entraîner l'exposition de données sensibles ou une prise de contrôle totale du système si l'attaquant parvient à téléverser un fichier malveillant sur le serveur. Bien que l'attaque soit effectuée via le réseau sans interaction de l'utilisateur, elle est techniquement difficile à exécuter en raison des exigences spécifiques de l'exploit.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Yii 2 is a PHP application framework. Versions 2.0.54 and prior contain flawed logic in the core view rendering method View::renderPhpFile() that leads to Local File Inclusion. The function calls extract($_params_, EXTR_OVERWRITE) before the require statement that loads the view file. As a result, a caller-controlled _file_ key in the $params array overwrites the internal local variable specifying which file to include, potentially enabling RCE if an attacker can write PHP files through a separate primitive, as well as information disclosure. This issue has been fixed in version 2.0.55.