CVE-2026-34788
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Emlog w wersji 2.6.2 i wcześniejszych wykryto podatność na SQL injection w funkcji updateTagName() w pliku include/model/tag_model.php. Funkcja bezpośrednio interpoluje dane wejściowe użytkownika do zapytania SQL bez użycia sparametryzowanych zapytań, co umożliwia atak SQL injection.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku lub modyfikacji całej bazy danych.
Rekomendacja
Należy natychmiast zastosować poprawkę lub zaimplementować sparametryzowane zapytania w funkcji updateTagName().
Oryginalny opis (angielski, źródło NVD)
Emlog is an open source website building system. In versions 2.6.2 and prior, a SQL injection vulnerability exists in include/model/tag_model.php at line 168. The updateTagName() function directly interpolates user input into the SQL query string without using parameterized queries or proper escaping ($this->db->escape_string()), making it vulnerable to SQL injection attacks. At time of publication, there are no publicly available patches.