Vulnerabilidad en Yii 2 (CVE-2024-32877)

Yii 2 es un framework de aplicación PHP. Durante las pruebas de penetración interna de un producto basado en Yii2, los usuarios descubrieron una vulnerabilidad de Cross-site Scripting (XSS) dentro del propio framework. Este problema es relevante para la última versión de Yii2 (2.0.49.3). Este problema radica en el mecanismo para mostrar los valores de los argumentos de la función en el seguimiento de la pila. La vulnerabilidad se manifiesta cuando el valor de un argumento supera los 32 caracteres. Por conveniencia, los valores de argumento que exceden este límite se truncan y se muestran con un "..." agregado. El valor completo del argumento se vuelve visible al pasar el mouse sobre él, tal como se muestra en el atributo de título de una etiqueta de extensión. Sin embargo, el uso de una comilla doble ("") permite a un atacante salir del contexto de valor del atributo de título e inyectar sus propios atributos en la etiqueta span, incluido código JavaScript malicioso a través de controladores de eventos como onmousemove. Esta vulnerabilidad permite a un atacante ejecutar código JavaScript arbitrario en el contexto de seguridad del sitio de la víctima a través de un enlace especialmente manipulado. Esto podría provocar el robo de cookies (incluidas las cookies httpOnly, a las que se puede acceder en la página), la sustitución de contenido o la toma completa de cuentas de usuario. El problema se solucionó en la versión 2.0.50. Se recomienda a los usuarios que actualicen. No existen workarounds para esta vulnerabilidad.