CVE-2020-15148

Yii 2 (yiisoft/yii2) versões anteriores à 2.0.38

O problema está relacionado à restauração de estruturas de dados não confiáveis na memória, permitindo potencialmente que um invasor remoto execute código arbitrário. Isso pode ocorrer se o aplicativo chamar unserialize() em entradas arbitrárias do usuário. O número estimado de dispositivos potencialmente afetados não foi fornecido.

Para versões anteriores à 2.0.38, atualize para a versão 2.0.38 para resolver o problema.

Como solução alternativa temporária sem atualização, adicione o seguinte código ao BatchQueryResult.php:

public function  sleep()

{

  throw new BadMethodCallException(‘Não é possível serializar ’. CLASS );

}




public function  wakeup()

{

  throw new BadMethodCallException(‘Não é possível deserializar ’. CLASS );

}