CVE-2026-103475 · CVSS 9.1 · yii2-starter-kit through 4.2.0 exposes the Yii debug and Gii modules to all IP addresses by setting allowedIPs to ['*'] in its default …

NVD (CVSS crítico) · 30 sept, 20:18

yii2-starter-kit en versiones hasta 4.2.0 expone los módulos debug y Gii de Yii a todas las direcciones IP al permitir allowedIPs ['*'] en la configuración por defecto. Atacantes no autenticados remotos pueden acceder al endpoint de debug para leer datos sensibles como cookies de sesión y consultas SQL, o al endpoint de Gii para generar y escribir archivos PHP en el directorio de la aplicación.