CVE-2024-58136 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Yii 框架行为附加处理不当。 💥 **后果**：攻击者可实例化任意 PHP 类，直接导致 **远程代码执行 (RCE)**。

🔍 **CWE**：CWE-424 (不安全的默认文件权限/行为)。 📍 **缺陷点**：JSON 中 `__class` 键的 **验证逻辑缺失**，导致非法类实例化。

📦 **产品**：Yii 2 (Yii Framework)。 📉 **版本**：**2.0.52 之前**的所有版本均受影响。

👑 **权限**：获得服务器 **最高控制权**。 📂 **数据**：可读取/篡改所有应用数据，甚至控制整个主机。

🚪 **门槛**：中等。 📝 **条件**：无需认证 (PR:N)，但攻击复杂度较高 (AC:H)，需构造特定 JSON 载荷。

💻 **Exp**：有。 🔗 **PoC**：ProjectDiscovery Nuclei 模板已提供检测脚本，可快速验证。

🔎 **自查**：检查 Yii 版本是否 < 2.0.52。 🛠 **扫描**：使用 Nuclei 模板 `CVE-2024-58136.yaml` 进行自动化扫描。

✅ **修复**：已发布。 📢 **版本**：官方已推送 **Yii 2.0.52**，请务必升级至该版本或更高。

🛡 **临时规避**：若无法立即升级，需严格过滤 JSON 输入中的 `__class` 键，或限制反序列化行为。

⚡ **优先级**：**极高**。 🔥 **建议**：RCE 漏洞且已有 PoC，建议 **立即** 升级框架以消除风险。