yii2-starter-kit: Unbeschränkter Datei-Upload führt zu Codeausführung

Zusammenfassung

yii2-starter-kit bis einschliesslich 4.2.0, eine Anwendungsvorlage für Yii 2, validiert in den Upload-Aktionen des Backend-Storage keine Dateitypen. Ein authentifizierter Benutzer mit der Rolle Manager kann PHP-Dateien in das webzugängliche Storage-Verzeichnis hochladen und aufrufen, wodurch beliebiger Code auf dem Server ausgeführt wird. Der Angreifer benötigt ein Konto mit Manager-Rolle, die Schwachstelle wird aber als hoch eingestuft, da sie zur vollständigen Kompromittierung des Servers führen kann.

Betroffen

• yii2-starter-kit 0 bis 4.2.0 (Standard: gemäss CVE-Eintrag nicht betroffen)
• Betroffener Code: backend/modules/file/controllers/StorageController.php
• Forks und individuelle Varianten der Vorlage können betroffen sein.

Behoben in

Unbekannt. Es wurde weder eine Herstellerwarnung noch eine bestätigte korrigierte Version gefunden.

Umgehung

• Rolle Manager auf vertrauenswürdige Benutzer beschränken und bestehende Konten mit dieser Rolle überprüfen.
• Eine Allowlist für Dateiendungen und MIME-Typen in den Upload-Aktionen einrichten.
• PHP-Ausführung in den Upload- und Storage-Verzeichnissen in der Webserver-Konfiguration blockieren.
• Hochgeladene Dateien ausserhalb des Webroots oder mit einer sicheren Dateiendung speichern.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. Eintrag im CISA-KEV-Katalog nicht bestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Das Upstream-Issue beschreibt die Schwachstelle und ihren Ort öffentlich. Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Systeme mit yii2-starter-kit inventarisieren, einschliesslich Forks, und die Version erfassen.
• Sicherstellen, dass das Backend nicht aus dem Internet erreichbar ist.
• Debug- und Gii-Einstellungen prüfen, die mit CVE-2026-103475 zusammenhängen.
• Die Rolle Manager einschränken und überprüfen.
• Die Upload-Einschränkungen und die Sperre der PHP-Ausführung anwenden und anschliessend die Storage-Verzeichnisse auf unerwartete Skriptdateien prüfen.
• Das Upstream-Issue und die Advisory von VulnCheck überwachen und nach Bestätigung einer korrigierten Version aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• yii2-starter-kit repository github.com
• Affected code: StorageController.php github.com
• Upstream issue #797 github.com
• VulnCheck advisory www.vulncheck.com
• Strix CVE-2026-103474 www.strix.ai
• OpenCVE CVE-2026-103474 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:36.