CVE-2020-27388
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W panelu administracyjnym YOURLS w wersjach 1.5-1.7.10 występuje wiele podatności na trwały XSS. Uwierzytelniony użytkownik może wstrzyknąć złośliwy kod poprzez modyfikację wtyczki PHP i jej przesłanie.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarkach innych administratorów, co prowadzi do kradzieży sesji, modyfikacji ustawień lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować YOURLS do najnowszej wersji oraz ograniczyć uprawnienia do modyfikacji wtyczek tylko do zaufanych użytkowników.
Inne podatności w YOURLS
Zobacz wszystkie- CVE-2026-62858Średnie
YOURLS w wersji przed 1.10.5 nie sanityzuje ścieżki żądania w funkcji yourls_get_request(), przez co sekwencje przejścia katalogowego (kropki i ukośniki) są zachowywane i trafiają do file_exists() oraz include() w katalogu YOURLS_PAGEDIR. Nieuwierzytelniony zdalny atakujący może wyjść poza katalog stron i dołączyć lokalny plik PHP już obecny na serwerze, powodując jego wykonanie w procesie webowym YOURLS. Problem naprawiono w wersji 1.10.5.
- CVE-2026-63135Wysokie
YOURLS, samodzielnie hostowany, konfigurowalny skracacz URL napisany w PHP, od wersji 1.5.1 do 1.10.4 przechowuje nagłówek HTTP Referer i agreguje go w statystykach, a następnie przekazuje do kreatora wykresów, który konkatenuje etykiety do wbudowanego JavaScriptu bez odpowiedniego escapowania. Umożliwia to nieuwierzytelnionemu atakującemu zatrucie statystyk istniejącego krótkiego URL-a spreparowanym referrerem, co prowadzi do wykonania złośliwego JavaScriptu w kontekście YOURLS, gdy administrator lub publiczny widz otworzy stronę statystyk. Problem został naprawiony w wersji 1.10.4.
Oryginalny opis (angielski, źródło NVD)
Multiple Stored Cross Site Scripting (XSS) vulnerabilities exist in the YOURLS Admin Panel, Versions 1.5 - 1.7.10. An authenticated user must modify a PHP plugin with a malicious payload and upload it, resulting in multiple stored XSS issues.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS