BDU:2025-06237

Опубликовано: 17 мар. 2025

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость функции getIterator файла symfony\finder\Iterator\SortableIterator.php PHP фреймворка Yii связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём внедрения специально сформированных данных

Вендор

Yii

Наименование ПО

Yii

Версия ПО

от 2.0.0 до 2.0.45 включительно (Yii)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для ограничения возможности эксплуатации уязвимости;

- использование средств мониторинга и регистрации событий для обнаружения попыток эксплуатации уязвимости, связанных с десериализацией данных.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

https://github.com/gaorenyusi/gaorenyusi/blob/main/Yii2.md

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-2689
CVE

EPSS

Процентиль: 51%

0.0028

Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2025-2689

CVSS3: 6.3

nvd

11 месяцев назад

A vulnerability, which was classified as critical, has been found in yiisoft Yii2 up to 2.0.45. Affected by this issue is the function getIterator of the file symfony\finder\Iterator\SortableIterator.php. The manipulation leads to deserialization. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.

CVE-2025-2689

CVSS3: 6.3

debian

11 месяцев назад

A vulnerability, which was classified as critical, has been found in y ...

GHSA-88m2-j94x-v4fx

CVSS3: 6.3

github

11 месяцев назад

yiisoft Yii2 Deserialization of Untrusted Data

EPSS

Процентиль: 51%

0.0028

Низкий

8.8 High

CVSS3

9 Critical

CVSS2