CVE-2026-67598
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Emlog Pro do wersji 2.6.23 zawiera podatność polegającą na wyłączeniu walidacji certyfikatów TLS w pliku include/service/ai.php, która pozwala atakującym w sąsiedztwie sieciowym na przechwytywanie wychodzących żądań HTTPS do skonfigurowanych dostawców LLM poprzez przedstawienie dowolnych certyfikatów TLS, ponieważ CURLOPT_SSL_VERIFYPEER i CURLOPT_SSL_VERIFYHOST są bezwarunkowo wyłączone w sendStream(), sendImageRequest(), send() i fetchSearchHtml() bez opcji ponownego włączenia weryfikacji.
Ocena ryzyka
Atakujący może przeprowadzić atak man-in-the-middle, aby wyodrębnić klucze API Bearer Authorization z każdego żądania AI i wstrzyknąć spreparowane odpowiedzi AI, które mogą być wykonane przez potok wywołań narzędzi, w tym procedury query_database i update_config, co może prowadzić do wycieku danych lub nieautoryzowanych zmian konfiguracji.
Rekomendacja
Zaleca się aktualizację do wersji, która przywraca walidację certyfikatów TLS, lub ręczne włączenie weryfikacji w kodzie źródłowym.
Inne podatności w Emlog Pro
Zobacz wszystkie- CVE-2025-61318Krytyczne
Emlog Pro 2.5.20 zawiera podatność na arbitralne usuwanie plików. Wynika ona z komponentów admin/template.php i admin/plugin.php, które nie wykonują walidacji ścieżek ani filtrowania niebezpiecznego kodu dla parametrów usuwania, co pozwala atakującym na wykorzystanie tej funkcji do przechodzenia po katalogach.
- CVE-2025-62717Krytyczne
Emlog Pro w wersji 2.5.23 ma błąd weryfikacji kodu sesji wynikający z błędu logiki czyszczenia. Kod weryfikacyjny może być ponownie użyty wszędzie tam, gdzie wymagany jest kod weryfikacyjny e-mail. Problem naprawiono w commicie 1f726df.
- CVE-2025-25783Krytyczne
W systemie Emlog Pro w wersji 2.5.3 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie admin\plugin.php. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku ZIP.
- CVE-2026-88745Średnie
EMLOG-Pro 2.6.29 zawiera podatność XSS, która umożliwia atakującym przesłanie złośliwego shella.
- CVE-2026-39276Wysokie
Funkcja przesyłania szablonów w Emlog Pro v2.6.9 zawiera podatność na path traversal, umożliwiającą uwierzytelnionym administratorom wykonanie dowolnego kodu PHP. Poprzez przesłanie złośliwego archiwum ZIP z sekwencjami nawigacji w nazwach plików, atakujący może nadpisać domyślne pliki szablonów lub bezpośrednio dołączyć złośliwe pliki kodu do bieżącego szablonu.
- CVE-2025-61930Wysokie
Emlog Pro w wersjach 2.5.19 i starszych jest podatny na Cross-Site Request Forgery (CSRF) w punkcie końcowym zmiany hasła. Atakujący może nakłonić zalogowanego administratora do wysłania spreparowanego żądania POST, które zmieni hasło administratora bez jego zgody.
- CVE-2025-61599Średnie
Emlog to system do budowy stron internetowych. W funkcji "Twitter" w EMLOG Pro 2.5.21 i wcześniejszych istnieje podatność Stored Cross-Site Scripting (XSS). Uwierzytelniony użytkownik z uprawnieniami do publikowania wiadomości "Twitter" może wstrzyknąć dowolny kod JavaScript, który jest przechowywany na serwerze i wykonywany w przeglądarce każdego użytkownika, w tym administratorów, po kliknięciu złośliwego wpisu.
- CVE-2025-44139Wysokie
Emlog Pro V2.5.7 zawiera podatność na nieograniczone przesyłanie plików niebezpiecznego typu przez endpoint /emlog/admin/plugin.php?action=upload_zip. Atakujący może przesłać złośliwy plik ZIP, który zostanie rozpakowany i wykonany na serwerze.
- CVE-2025-25827Średnie
W systemie Emlog Pro w wersji 2.5.4 w komponencie sort.php występuje podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona atakującemu skanowanie lokalnych i wewnętrznych portów poprzez dostarczenie spreparowanego adresu URL.
- CVE-2025-25825Wysokie
Podatność XSS w Emlog Pro v2.5.4 umożliwia atakującym wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez pole tytułu w sekcji kategorii artykułów.
Oryginalny opis (angielski, źródło NVD)
Emlog Pro through 2.6.23 contains a disabled TLS certificate validation vulnerability in include/service/ai.php that allows network-adjacent attackers to intercept outbound HTTPS requests to configured LLM providers by presenting arbitrary TLS certificates, as CURLOPT_SSL_VERIFYPEER and CURLOPT_SSL_VERIFYHOST are unconditionally disabled across sendStream(), sendImageRequest(), send(), and fetchSearchHtml() with no option to re-enable verification. Attackers can perform man-in-the-middle interception to extract Authorization Bearer API keys from every AI request and inject crafted AI responses that may be acted upon by the tool-call execution pipeline, including the query_database and update_config tool handlers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS