CVE-2026-63135

YOURLS, PHP ile yazılmış, kendi sunucunuzda barındırılabilen ve özelleştirilebilir bir URL kısaltıcıdır. 1.5.1 ile 1.10.4 sürümleri arasında YOURLS; HTTP Referer başlığını yourls_get_referrer(), yourls_sanitize_url_safe() ve yourls_log_redirect() aracılığıyla saklar, ardından bu değeri yourls-infos.php içinde toplar ve türetilen alanı yourls_get_domain(), yourls_stats_pie() ve yourls_google_array_to_data_table() üzerinden geçirir. Grafik oluşturucu, etiketleri JavaScript-string kaçış karakterlerini kullanmadan satır içi JavaScript'e ekler; bu nedenle kimliği doğrulanmamış bir saldırgan, özel olarak hazırlanmış bir referrer ile mevcut bir kısa URL'nin istatistiklerini zehirleyebilir. Bir yönetici veya genel istatistik sayfası görüntüleyicisi etkilenen istatistik sayfasını açtığında, saldırgan tarafından kontrol edilen JavaScript kodu YOURLS kaynağında çalıştırılır ve yöneticiye görünür verilere, API imza belirtecine ve ayrıcalıklı aynı kaynaklı işlemlere erişebilir. Bu sorun 1.10.4 sürümünde düzeltilmiştir.