Podatności Emlog

Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 brakowało ochrony CSRF w krytycznych funkcjach administracyjnych, co pozwalało atakującym na oszukiwanie uwierzytelnionych administratorów w celu wykonywania nieautoryzowanych działań, takich jak rejestracja systemu, zarządzanie wtyczkami i zmiany w konfiguracji.

Emlog, otwartoźródłowy system budowy stron internetowych, w wersji 2.6.1 i wcześniejszych udostępnia punkt końcowy REST API (/index.php?rest-api=upload) do przesyłania plików multimedialnych. Punkt końcowy nie przeprowadza prawidłowej walidacji typów plików, rozszerzeń i zawartości, co pozwala uwierzytelnionym atakującym (z ważnym kluczem API lub ciasteczkiem sesji administratora) na przesyłanie dowolnych plików (w tym złośliwych skryptów PHP) na serwer. Atakujący może uzyskać klucz API poprzez uzyskanie dostępu administratora lub wykorzystanie podatności na ujawnienie informacji. Po przesłaniu złośliwy plik PHP może zostać wykonany, co prowadzi do zdalnego wykonania kodu (RCE) i pełnej kompromitacji serwera.

Emlog to system budowania stron internetowych. Wersje do 2.5.19 włącznie są podatne na żądania poza pasmem (OOB) / SSRF po stronie serwera poprzez przesłane pliki SVG. Atakujący może przesłać spreparowany plik SVG zawierający zewnętrzne odwołania do zasobów, co powoduje wysłanie żądania HTTP do kontrolowanego przez atakującego hosta podczas przetwarzania pliku.

Emlog w wersji 2.6.26 i wcześniejszych pozwala na nieuwierzytelnione ponowne uruchomienie instalacji (action=reinstall) w install.php, które pomija sprawdzenie, czy system jest już zainstalowany. Atakujący może nadpisać config.php i utworzyć nowe konto administratora.

Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 występowała bezpośrednia podatność na wstrzykiwanie SQL w funkcjach tworzenia i aktualizacji artykułów, co pozwalało atakującym na wykonywanie dowolnych poleceń SQL.

Emlog (system budowy stron internetowych) w wersji 2.5.23 ma podatność na CSRF w funkcji tworzenia artykułów. Może to doprowadzić do wymuszenia opublikowania artykułu z dowolną treścią kontrolowaną przez atakującego. W połączeniu z przechowywanym XSS prowadzi to do przejęcia konta.

W Emlog, otwartoźródłowym systemie budowy stron internetowych, w wersjach 2.6.29 i wcześniejszych, nazwy tagów nie są kodowane HTML podczas renderowania w edytorze artykułów. Atakujący może utworzyć tag zawierający ');alert(document.domain);//. Funkcja addslashes() nie koduje encji HTML, więc ' jest przechowywane bez zmian. Gdy przeglądarka renderuje stronę, dekoduje ' z powrotem do dosłownego pojedynczego cudzysłowu przed wykonaniem JavaScript, co pozwala na wyjście ze stringa i wykonanie dowolnego kodu. W momencie publikacji nie są znane publiczne poprawki.

Emlog w wersjach 2.6.29 i wcześniejszych przetwarza treść artykułów przez Parsedown bez włączonego trybu bezpiecznego, co pozwala na przekazanie surowego HTML, w tym znaczników <script>, bez escapowania. Powoduje to trwały XSS widoczny dla wszystkich odwiedzających.

Emlog do wersji 2.6.29 włącznie ma podatność w funkcji emUnZip(), która rozpakowuje archiwa ZIP bez walidacji ścieżek wpisów pod kątem sekwencji ../. Atakujący może nadpisać dowolne pliki na serwerze, w tym config.php, co prowadzi do natychmiastowego zdalnego wykonania kodu (RCE). W chwili publikacji nie są znane publiczne łatki.

Emlog przed wersją 2.6.16 ma podatność na ślepą iniekcję SQL w User_Model::getUserDataByLogin(). Parametr $account jest bezpośrednio interpolowany do zapytań SQL bez filtrowania. Podatność jest osiągalna przez ścieżkę walidacji ciasteczka auth, gdzie $username jest wyodrębniane z ciasteczka i przekazywane bez filtrowania do SQL — chronione jedynie podpisem HMAC wymagającym klucza AUTH_KEY do sfałszowania.

Emlog to system budowania stron internetowych o otwartym kodzie źródłowym. W wersji 2.6.20 i wcześniejszych istnieje podatność na wstrzykiwanie SQL w funkcji queryDatabase w pliku ai.php.

Brak ochrony CSRF w akcji execute_tool w admin/ai.php w Emlog 2.6.26 i wcześniejszych pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie sfałszowanego żądania do zalogowanego administratora. Atak może umożliwić odczyt wszystkich tabel bazy danych oraz zapis do wszystkich tabel z wyjątkiem blog, w tym przejęcie konta administratora.

W systemie Emlog w wersji 2.6.13 i wcześniejszych, interfejs publikowania artykułów przechowuje parametr szablonu z api_controller.php bez walidacji, co umożliwia atakującemu z uprawnieniami autora dołączenie dowolnego lokalnego pliku .php podczas wyświetlania artykułu. Podatność wynika z użycia funkcji file_exists i include View::getView($template) w log_controller.php.

W systemie Emlog w wersji 2.6.13 i wcześniejszych, parametr 'keyword' w module wyszukiwania użytkowników panelu administracyjnego jest przetwarzany przez addslashes, ale nie jest kodowany HTML przed wyświetleniem w atrybucie value w pliku admin/views/user.php. Umożliwia to odbite ataki XSS w sesji administratora.

W Emlog w wersji 2.6.2 i wcześniejszych wykryto podatność na SQL injection w funkcji updateTagName() w pliku include/model/tag_model.php. Funkcja bezpośrednio interpoluje dane wejściowe użytkownika do zapytania SQL bez użycia sparametryzowanych zapytań, co umożliwia atak SQL injection.

W systemie Emlog w wersji 2.6.2 i starszych występuje podatność na lokalne dołączanie plików (LFI) w pliku admin/plugin.php. Parametr $plugin z żądania GET jest bezpośrednio używany w ścieżce require_once bez odpowiedniego oczyszczania. Jeśli możliwe jest ominięcie sprawdzania tokena CSRF, atakujący może dołączyć dowolne pliki PHP z systemu plików serwera, prowadząc do wykonania kodu.

W Emlog w wersjach 2.6.2 i wcześniejszych istnieje podatność typu path traversal w funkcji emUnZip(), pozwalająca uwierzytelnionemu administratorowi na zapis dowolnych plików (w tym webshelli PHP) poprzez rozpakowanie spreparowanego archiwum ZIP z sekwencjami ../. Prowadzi to do zdalnego wykonania kodu (RCE). Brak publicznie dostępnych łat.

Emlog przed wersją 2.6.8 zawiera podatność na trwałe XSS w module komentarzy poprzez obejście walidacji schematu URI. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się przy przeglądaniu strony z komentarzem.

Emlog przed wersją 2.6.8 zawiera podatność w interfejsie aktualizacji backendu, który akceptuje zdalne adresy URL SQL i ZIP przez parametry GET. Serwer pobiera i wykonuje plik SQL, a następnie pobiera plik ZIP i rozpakowuje go bezpośrednio do katalogu głównego serwera. Proces nie waliduje tokena CSRF, więc atakujący może nakłonić uwierzytelnionego administratora do odwiedzenia złośliwego linku, co prowadzi do dowolnego wykonania SQL i zapisu plików.

Emlog do wersji 2.5.22 zawiera podatność Cross-Site Scripting (XSS) w funkcji przesyłania plików. Uwierzytelniony zdalny atakujący może przesłać plik .svg zawierający kod JavaScript, który następnie zostanie wykonany. Poprawka znajduje się w commicie 052f9c4226b2c0014bcd857fec47677340b185b1.

W wersjach Emlog 2.5.21 i wcześniejszych wstrzyknięcie szablonu HTML w ustawieniach szablonu wiadomości e-mail umożliwia przechowywany XSS. Po zapisaniu złośliwego ładunku każde kolejne wejście na stronę ustawień w uwierzytelnionym kontekście administratora wykonuje JavaScript kontrolowany przez atakującego, co umożliwia kradzież sesji/tokenów i pełne przejęcie konta administratora. Problem naprawiono w wersji 2.5.22.

emlog w wersji 2.1.9 jest podatny na usuwanie dowolnych plików poprzez admin emplate.php.