CVE-2026-34787
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W systemie Emlog w wersji 2.6.2 i starszych występuje podatność na lokalne dołączanie plików (LFI) w pliku admin/plugin.php. Parametr $plugin z żądania GET jest bezpośrednio używany w ścieżce require_once bez odpowiedniego oczyszczania. Jeśli możliwe jest ominięcie sprawdzania tokena CSRF, atakujący może dołączyć dowolne pliki PHP z systemu plików serwera, prowadząc do wykonania kodu.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować Emlog do najnowszej dostępnej wersji lub zastosować tymczasowe zabezpieczenia, takie jak walidacja parametru $plugin i wzmocnienie mechanizmu CSRF.
Oryginalny opis (angielski, źródło NVD)
Emlog is an open source website building system. In versions 2.6.2 and prior, a Local File Inclusion (LFI) vulnerability exists in admin/plugin.php at line 80. The $plugin parameter from the GET request is directly used in a require_once path without proper sanitization. If the CSRF token check can be bypassed (see potential bypass conditions), an attacker can include arbitrary PHP files from the server filesystem, leading to code execution. At time of publication, there are no publicly available patches.