CVE-2026-62858
ŚrednieCVSS 5.3Streszczenie
YOURLS w wersji przed 1.10.5 nie sanityzuje ścieżki żądania w funkcji yourls_get_request(), przez co sekwencje przejścia katalogowego (kropki i ukośniki) są zachowywane i trafiają do file_exists() oraz include() w katalogu YOURLS_PAGEDIR. Nieuwierzytelniony zdalny atakujący może wyjść poza katalog stron i dołączyć lokalny plik PHP już obecny na serwerze, powodując jego wykonanie w procesie webowym YOURLS. Problem naprawiono w wersji 1.10.5.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny lokalny plik PHP (np. wgrany lub wstrzyknięty) w kontekście aplikacji, co prowadzi do przejęcia serwera lub wykonania złośliwego kodu bez uwierzytelnienia.
Rekomendacja
Zaktualizuj YOURLS do wersji 1.10.5 lub nowszej; do czasu aktualizacji ogranicz możliwość wgrywania plików i monitoruj nietypowe żądania zawierające sekwencje ../ w ścieżce.
Inne podatności w YOURLS
Zobacz wszystkie- CVE-2026-63135Wysokie
YOURLS, samodzielnie hostowany, konfigurowalny skracacz URL napisany w PHP, od wersji 1.5.1 do 1.10.4 przechowuje nagłówek HTTP Referer i agreguje go w statystykach, a następnie przekazuje do kreatora wykresów, który konkatenuje etykiety do wbudowanego JavaScriptu bez odpowiedniego escapowania. Umożliwia to nieuwierzytelnionemu atakującemu zatrucie statystyk istniejącego krótkiego URL-a spreparowanym referrerem, co prowadzi do wykonania złośliwego JavaScriptu w kontekście YOURLS, gdy administrator lub publiczny widz otworzy stronę statystyk. Problem został naprawiony w wersji 1.10.4.
- CVE-2020-27388Średnie
W panelu administracyjnym YOURLS w wersjach 1.5-1.7.10 występuje wiele podatności na trwały XSS. Uwierzytelniony użytkownik może wstrzyknąć złośliwy kod poprzez modyfikację wtyczki PHP i jej przesłanie.
Oryginalny opis (angielski, źródło NVD)
YOURLS is a self-hosted, customizable URL shortener written in PHP. Prior to 1.10.5, yourls_get_request() extracted the request path without sanitization, after which yourls_sanitize_url() and yourls_esc_url() preserved dot and slash traversal sequences before an attacker-controlled keyword reached file_exists() and include() under YOURLS_PAGEDIR. An unauthenticated remote attacker could traverse outside the intended pages directory and include a local PHP file that was already present on the server, such as an uploaded or injected file, causing the file to execute in the YOURLS web process. This issue is fixed in version 1.10.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS