FreeBSD：yii -- 遠端任意 PHP 程式碼執行 (5a35bc56-7027-11e4-a4a3-001999f8d30b)

high Nessus Plugin ID 79364

語系：

概要

遠端 FreeBSD 主機缺少安全性相關更新。

說明

Yii PHP 架構開發人員報告：

我們發佈 Yii 1.1.15 以修正 1.1.14 中發現的一個安全性問題。
我們強烈建議所有 1.1.14 使用者將其 Yii 升級至此最新版本。
請注意，該問題只會影響 1.1.14。所有先前的版本都不受影響。從 1.1.14 升級至此版本相當安全，而且不會中斷您現有的程式碼。

該弱點存在於 CDetailView widget 中。當 Yii 應用程式使用此 widget 並使用終端使用者輸入來設定 CDetailView 屬性的 'value' 內容時，可能允許攻擊者在伺服器上執行任意 PHP 指令碼。我們在這裡不會展示如何惡意利用此弱點，以便讓使用者在此漏洞的詳細資訊變得眾所周知之前升級。就我們所知，此問題的詳細資訊只有核心團隊成員知道。