FreeBSD：yii -- リモートの任意 PHP コードの実行（5a35bc56-7027-11e4-a4a3-001999f8d30b）

high Nessus プラグイン ID 79364

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Yii PHP Framework 開発者による報告：

Yii 1.1.15 をリリースして、1.1.14 で見つかったセキュリティの問題を修正します。
1.1.14 の全ユーザーは、Yii をこの最新リリースにアップグレードすることが推奨されます。
注意：この問題の影響を受けるのは、1.1.14 のみです。以前のリリースはすべて影響を受けません。1.1.14 からこのリリースをアップグレードするのは、安全で、既存のコードを破損しません。

脆弱性は　CDetailView ウィジェットにあります。Yii アプリケーションがこのウィジェットを使用し、エンドユーザーの入力を使用して CDetailView 属性の「値」プロパティを構成する際に、攻撃者が任意の PHP スクリプトをサーバーで実行する可能性があります。ここで悪用の方法を説明して、悪用の詳細が公知のものになる前にユーザーがアップグレードできるようにはしません。弊社が把握している限りでは、この問題の詳細は、コアチームメンバーのみが知っています。