CVE-2026-63135
Təsvir
YOURLS, PHP dilində yazılmış özünə məxsus hostinqli və fərdiləşdirilə bilən URL qısaldıcıdır. 1.5.1 versiyasından 1.10.4 versiyasına qədər YOURLS, HTTP Referer başlığını yourls_get_referrer(), yourls_sanitize_url_safe() və yourls_log_redirect() vasitəsilə saxlayır, daha sonra bu dəyəri yourls-infos.php faylında aqreqasiya edir və əldə edilən domeni yourls_get_domain(), yourls_stats_pie() və yourls_google_array_to_data_table() funksiyaları vasitəsilə ötürür. Diaqram qurucusu etiketləri JavaScript-string escape prosesini tətbiq etmədən inline JavaScript daxilinə birləşdirir, buna görə də autentifikasiya olunmamış hücumçu xüsusi hazırlanmış referrer ilə mövcud qısa URL-in statistikalarını korluda bilər. Administrator və ya ictimai statistika səhifəsinə baxan istifadəçi təsirlənmiş statistika səhifəsini açdıqda, hücumçunun idarə etdiyi JavaScript kodu YOURLS mənşəyində (origin) icra olunur və admin üçün görünən məlumatlara, API imza tokeninə və imtiyazlı eyni-mənşəli (same-origin) hərəkətlərə giriş əldə edə bilir. Bu problem 1.10.4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- yourls/yourls1.10.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| yourls/yourlsPackagist | 1.5.1 ≤ v < 1.10.4 | 1.10.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.