CVE-2026-63135

WysokieCVSS 8.2

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

YOURLS, samodzielnie hostowany, konfigurowalny skracacz URL napisany w PHP, od wersji 1.5.1 do 1.10.4 przechowuje nagłówek HTTP Referer i agreguje go w statystykach, a następnie przekazuje do kreatora wykresów, który konkatenuje etykiety do wbudowanego JavaScriptu bez odpowiedniego escapowania. Umożliwia to nieuwierzytelnionemu atakującemu zatrucie statystyk istniejącego krótkiego URL-a spreparowanym referrerem, co prowadzi do wykonania złośliwego JavaScriptu w kontekście YOURLS, gdy administrator lub publiczny widz otworzy stronę statystyk. Problem został naprawiony w wersji 1.10.4.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w kontekście YOURLS, co może prowadzić do kradzieży danych administratora, tokenu API i wykonania uprzywilejowanych akcji w tej samej domenie.

Rekomendacja

Zaleca się natychmiastową aktualizację YOURLS do wersji 1.10.4 lub nowszej, aby zapobiec wykorzystaniu podatności.

Inne podatności w YOURLS

CVE-2020-27388Średnie
W panelu administracyjnym YOURLS w wersjach 1.5-1.7.10 występuje wiele podatności na trwały XSS. Uwierzytelniony użytkownik może wstrzyknąć złośliwy kod poprzez modyfikację wtyczki PHP i jej przesłanie.

Oryginalny opis (angielski, źródło NVD)

YOURLS is a self-hosted, customizable URL shortener written in PHP. From 1.5.1 until 1.10.4, YOURLS stores the HTTP Referer header through yourls_get_referrer(), yourls_sanitize_url_safe(), and yourls_log_redirect(), then aggregates the value in yourls-infos.php and passes the derived domain through yourls_get_domain(), yourls_stats_pie(), and yourls_google_array_to_data_table(). The chart builder concatenates labels into inline JavaScript without JavaScript-string escaping, so an unauthenticated attacker can poison the statistics of an existing short URL with a crafted referrer. When an administrator or public stats-page viewer opens the affected statistics page, attacker-controlled JavaScript executes in the YOURLS origin and can access admin-visible data, the API signature token, and privileged same-origin actions. This issue is fixed in version 1.10.4.