yiisoft/yii deserializing untrusted user input can lead to remote code execution

NGHIÊM TRỌNG 9.8CVE-2023-47130 · GHSA-mw2w-2hj2-fg8q · Công bố 14/11/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-47130 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng yiisoft/yii, yii (yiiframework).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 3.1%, cao hơn 87.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.1.29 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
yiisoft/yii Packagist	`< 1.1.29`	`1.1.29`
yii yiiframework	`< 1.1.29`	`1.1.29`

Mô tả

Impact

Affected versions of yiisoft/yii are vulnerable to Remote Code Execution (RCE) if the application calls unserialize() on arbitrary user input.

Patches

Upgrade yiisoft/yii to version 1.1.29 or higher.

For more information

See the following links for more details:

If you have any questions or comments about this advisory, contact us through security form.

Mô tả của NVD

Yii is an open source PHP web framework. yiisoft/yii before version 1.1.29 are vulnerable to Remote Code Execution (RCE) if the application calls `unserialize()` on arbitrary user input. An attacker may leverage this vulnerability to compromise the host system. A fix has been developed for the 1.1.29 release. Users are advised to upgrade. There are no known workarounds for this vulnerability.