CVE-2025-61930
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Emlog Pro w wersjach 2.5.19 i starszych jest podatny na Cross-Site Request Forgery (CSRF) w punkcie końcowym zmiany hasła. Atakujący może nakłonić zalogowanego administratora do wysłania spreparowanego żądania POST, które zmieni hasło administratora bez jego zgody.
Ocena ryzyka
Wykorzystanie podatności może doprowadzić do przejęcia konta uprzywilejowanego użytkownika (administratora), a w konsekwencji do pełnej kompromitacji serwisu. W momencie publikacji nie istnieją znane wersje z poprawką.
Rekomendacja
Ogranicz dostęp do panelu administracyjnego, wdróż ochronę przed CSRF (np. tokeny anty-CSRF, nagłówki SameSite) oraz monitoruj nietypowe zmiany haseł. Śledź wydania Emlog Pro w oczekiwaniu na oficjalną poprawkę.
Inne podatności w Emlog Pro
Zobacz wszystkie- CVE-2025-61318Krytyczne
Emlog Pro 2.5.20 zawiera podatność na arbitralne usuwanie plików. Wynika ona z komponentów admin/template.php i admin/plugin.php, które nie wykonują walidacji ścieżek ani filtrowania niebezpiecznego kodu dla parametrów usuwania, co pozwala atakującym na wykorzystanie tej funkcji do przechodzenia po katalogach.
- CVE-2025-62717Krytyczne
Emlog Pro w wersji 2.5.23 ma błąd weryfikacji kodu sesji wynikający z błędu logiki czyszczenia. Kod weryfikacyjny może być ponownie użyty wszędzie tam, gdzie wymagany jest kod weryfikacyjny e-mail. Problem naprawiono w commicie 1f726df.
- CVE-2025-25783Krytyczne
W systemie Emlog Pro w wersji 2.5.3 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie admin\plugin.php. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku ZIP.
- CVE-2026-88745Średnie
EMLOG-Pro 2.6.29 zawiera podatność XSS, która umożliwia atakującym przesłanie złośliwego shella.
- CVE-2026-67598Wysokie
Emlog Pro do wersji 2.6.23 zawiera podatność polegającą na wyłączeniu walidacji certyfikatów TLS w pliku include/service/ai.php, która pozwala atakującym w sąsiedztwie sieciowym na przechwytywanie wychodzących żądań HTTPS do skonfigurowanych dostawców LLM poprzez przedstawienie dowolnych certyfikatów TLS, ponieważ CURLOPT_SSL_VERIFYPEER i CURLOPT_SSL_VERIFYHOST są bezwarunkowo wyłączone w sendStream(), sendImageRequest(), send() i fetchSearchHtml() bez opcji ponownego włączenia weryfikacji.
- CVE-2026-39276Wysokie
Funkcja przesyłania szablonów w Emlog Pro v2.6.9 zawiera podatność na path traversal, umożliwiającą uwierzytelnionym administratorom wykonanie dowolnego kodu PHP. Poprzez przesłanie złośliwego archiwum ZIP z sekwencjami nawigacji w nazwach plików, atakujący może nadpisać domyślne pliki szablonów lub bezpośrednio dołączyć złośliwe pliki kodu do bieżącego szablonu.
- CVE-2025-61599Średnie
Emlog to system do budowy stron internetowych. W funkcji "Twitter" w EMLOG Pro 2.5.21 i wcześniejszych istnieje podatność Stored Cross-Site Scripting (XSS). Uwierzytelniony użytkownik z uprawnieniami do publikowania wiadomości "Twitter" może wstrzyknąć dowolny kod JavaScript, który jest przechowywany na serwerze i wykonywany w przeglądarce każdego użytkownika, w tym administratorów, po kliknięciu złośliwego wpisu.
- CVE-2025-44139Wysokie
Emlog Pro V2.5.7 zawiera podatność na nieograniczone przesyłanie plików niebezpiecznego typu przez endpoint /emlog/admin/plugin.php?action=upload_zip. Atakujący może przesłać złośliwy plik ZIP, który zostanie rozpakowany i wykonany na serwerze.
- CVE-2025-25827Średnie
W systemie Emlog Pro w wersji 2.5.4 w komponencie sort.php występuje podatność na fałszowanie żądań po stronie serwera (SSRF). Umożliwia ona atakującemu skanowanie lokalnych i wewnętrznych portów poprzez dostarczenie spreparowanego adresu URL.
- CVE-2025-25825Wysokie
Podatność XSS w Emlog Pro v2.5.4 umożliwia atakującym wstrzyknięcie złośliwego skryptu lub kodu HTML poprzez pole tytułu w sekcji kategorii artykułów.
Oryginalny opis (angielski, źródło NVD)
Emlog is an open source website building system. Emlog Pro versions 2.5.19 and earlier are vulnerable to Cross‑Site Request Forgery (CSRF) on the password change endpoint. An attacker can trick a logged‑in administrator into submitting a crafted POST request to change the admin password without consent. Impact is account takeover of privileged users. Severity: High. As of time of publication, no known patched versions exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS