CVE-2025-25823

Emlog Pro 2.5.20 zawiera podatność na arbitralne usuwanie plików. Wynika ona z komponentów admin/template.php i admin/plugin.php, które nie wykonują walidacji ścieżek ani filtrowania niebezpiecznego kodu dla parametrów usuwania, co pozwala atakującym na wykorzystanie tej funkcji do przechodzenia po katalogach.

Emlog Pro w wersji 2.5.23 ma błąd weryfikacji kodu sesji wynikający z błędu logiki czyszczenia. Kod weryfikacyjny może być ponownie użyty wszędzie tam, gdzie wymagany jest kod weryfikacyjny e-mail. Problem naprawiono w commicie 1f726df.

W systemie Emlog Pro w wersji 2.5.3 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie admin\plugin.php. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku ZIP.

EMLOG-Pro 2.6.29 zawiera podatność XSS, która umożliwia atakującym przesłanie złośliwego shella.

Emlog Pro do wersji 2.6.23 zawiera podatność polegającą na wyłączeniu walidacji certyfikatów TLS w pliku include/service/ai.php, która pozwala atakującym w sąsiedztwie sieciowym na przechwytywanie wychodzących żądań HTTPS do skonfigurowanych dostawców LLM poprzez przedstawienie dowolnych certyfikatów TLS, ponieważ CURLOPT_SSL_VERIFYPEER i CURLOPT_SSL_VERIFYHOST są bezwarunkowo wyłączone w sendStream(), sendImageRequest(), send() i fetchSearchHtml() bez opcji ponownego włączenia weryfikacji.

Funkcja przesyłania szablonów w Emlog Pro v2.6.9 zawiera podatność na path traversal, umożliwiającą uwierzytelnionym administratorom wykonanie dowolnego kodu PHP. Poprzez przesłanie złośliwego archiwum ZIP z sekwencjami nawigacji w nazwach plików, atakujący może nadpisać domyślne pliki szablonów lub bezpośrednio dołączyć złośliwe pliki kodu do bieżącego szablonu.

Emlog Pro w wersjach 2.5.19 i starszych jest podatny na Cross-Site Request Forgery (CSRF) w punkcie końcowym zmiany hasła. Atakujący może nakłonić zalogowanego administratora do wysłania spreparowanego żądania POST, które zmieni hasło administratora bez jego zgody.

Emlog to system do budowy stron internetowych. W funkcji "Twitter" w EMLOG Pro 2.5.21 i wcześniejszych istnieje podatność Stored Cross-Site Scripting (XSS). Uwierzytelniony użytkownik z uprawnieniami do publikowania wiadomości "Twitter" może wstrzyknąć dowolny kod JavaScript, który jest przechowywany na serwerze i wykonywany w przeglądarce każdego użytkownika, w tym administratorów, po kliknięciu złośliwego wpisu.

Emlog Pro V2.5.7 zawiera podatność na nieograniczone przesyłanie plików niebezpiecznego typu przez endpoint /emlog/admin/plugin.php?action=upload_zip. Atakujący może przesłać złośliwy plik ZIP, który zostanie rozpakowany i wykonany na serwerze.

W systemie Emlog Pro w wersji 2.5.4 w komponencie sort.php występuje podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona atakującemu skanowanie lokalnych i wewnętrznych portów poprzez dostarczenie spreparowanego adresu URL.