Vikash Gupta

yii2-starter-kit through 4.2.0 fails to validate file types in the backend storage upload actions, allowing authenticated managers to upload PHP files. Attackers with manager role can upload PHP scripts to the web-accessible storage directory and request them to execute arbitrary code on the server.

**Nome do Software Vulnerável e Versões Afetadas** yii2-starter-kit versões anteriores a 4.2.0 **Description** O software expõe os módulos Yii debug e Gii para todos os endereços IP ao definir a variável `allowedIPs` como `['*']` na configuração de desenvolvimento padrão. Atacantes remotos não autenticados podem acessar o endpoint de debug para ler dados sensíveis, como cookies de sessão e consultas ao banco de dados, ou usar o endpoint Gii para gerar e gravar arquivos PHP no diretório da aplicação. **Recommendations** Atualize o yii2-starter-kit para a versão 4.2.0 ou posterior.

yii2-starter-kit through 4.2.0 fails to validate article publication status in the attachment-download endpoint, allowing unauthenticated attackers to download files from draft articles. Attackers can enumerate sequential attachment identifiers to retrieve files from unpublished articles without authentication or authorization checks.