CVE-2026-62858

YOURLS: Unauthenticated File Inclusion

CVSS 3.1Medium

5.3/ 10.0

Опубликовано

14 октября 2026 г.

Обновлено

14 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.10.5

Обновитесь до YOURLS 1.10.5 или более поздней версии.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

LFI в YOURLS до версии 1.10.5 из-за некорректной санитизации путей запроса.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция yourls_get_request() извлекает путь без фильтрации, а yourls_sanitize_url() и yourls_esc_url() сохраняют последовательности обхода каталогов (../), передавая контролируемый параметр напрямую в file_exists() и include() внутри каталога YOURLS_PAGEDIR.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Неаутентифицированный удаленный атакующий может выйти за пределы директории страниц и выполнить произвольный локальный PHP-файл в контексте веб-процесса.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

YOURLSYOURLS

все ранние➔Fix: 1.10.5

——

>= 0➔Fix: 1.10.5

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-62858: YOURLS: Unauthenticated File Inclusion. URL: https://cve.futuretools.ru/cve/CVE-2026-62858

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_62858,
  title = {{CVE-2026-62858: YOURLS: Unauthenticated File Inclusion}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-62858}},
  note = {Оперативный инженерный анализ киберугроз}
}