Владислав Цепишь

Можете подсказать наиболее распространённые ошибки/уязвимости проекта на Yii 2.

Как сказал Максим Тимофеев в большинстве случаев все зависит от самих разработчиков проекта. Но если хотите понимать список возможных уязвимостей -смотрите его на сайте OWASP, т.к. эта самая достоверная информация

Форма фильтрует загружаемые файлы по расширению, можно загрузить файл script.php.jpg, но можно ли эту теоретическую уязвимость (если это уязвимость вообще) раскрутить.

Судя по этому - расширение проверяется не по magic number, а по куску названия, а это не комильфо - если исполняемый файл переименовать, то на его функциональность это не повлияет.

Впрочем, если волнуют .php, .py и подобные файлы, то еще дополнительно нужно проверять содержимое, так как это суть простые текстовые файлы.

Это openSource проект, если бы кто-то знал уязвимости уже бы исправили. Про те которые были, можно прочитать тут:
https://github.com/yiisoft/yii2/blob/master/framew...

Но стоит отметить, что большинство уязвимостей в проектах на yii2, да и на других framework-ах это кривость разработчиков этих проектов, а не самого framework-а.