CVE-2026-46686
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie Emlog w wersji 2.6.13 i wcześniejszych, parametr 'keyword' w module wyszukiwania użytkowników panelu administracyjnego jest przetwarzany przez addslashes, ale nie jest kodowany HTML przed wyświetleniem w atrybucie value w pliku admin/views/user.php. Umożliwia to odbite ataki XSS w sesji administratora.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w przeglądarce administratora, co może prowadzić do kradzieży sesji, modyfikacji treści lub eskalacji uprawnień w systemie.
Rekomendacja
Należy natychmiast ograniczyć dostęp do panelu administracyjnego, zastosować filtrowanie wejścia i kodowanie wyjścia dla parametru 'keyword' oraz monitorować aktualizacje producenta w celu uzyskania poprawki.
Inne podatności w Emlog
Zobacz wszystkie- CVE-2026-42286Wysokie
Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 brakowało ochrony CSRF w krytycznych funkcjach administracyjnych, co pozwalało atakującym na oszukiwanie uwierzytelnionych administratorów w celu wykonywania nieautoryzowanych działań, takich jak rejestracja systemu, zarządzanie wtyczkami i zmiany w konfiguracji.
- CVE-2026-22799Wysokie
Emlog, otwartoźródłowy system budowy stron internetowych, w wersji 2.6.1 i wcześniejszych udostępnia punkt końcowy REST API (/index.php?rest-api=upload) do przesyłania plików multimedialnych. Punkt końcowy nie przeprowadza prawidłowej walidacji typów plików, rozszerzeń i zawartości, co pozwala uwierzytelnionym atakującym (z ważnym kluczem API lub ciasteczkiem sesji administratora) na przesyłanie dowolnych plików (w tym złośliwych skryptów PHP) na serwer. Atakujący może uzyskać klucz API poprzez uzyskanie dostępu administratora lub wykorzystanie podatności na ujawnienie informacji. Po przesłaniu złośliwy plik PHP może zostać wykonany, co prowadzi do zdalnego wykonania kodu (RCE) i pełnej kompromitacji serwera.
- CVE-2026-21433Wysokie
Emlog to system budowania stron internetowych. Wersje do 2.5.19 włącznie są podatne na żądania poza pasmem (OOB) / SSRF po stronie serwera poprzez przesłane pliki SVG. Atakujący może przesłać spreparowany plik SVG zawierający zewnętrzne odwołania do zasobów, co powoduje wysłanie żądania HTTP do kontrolowanego przez atakującego hosta podczas przetwarzania pliku.
- CVE-2026-73849Krytyczne
Emlog w wersji 2.6.26 i wcześniejszych pozwala na nieuwierzytelnione ponowne uruchomienie instalacji (action=reinstall) w install.php, które pomija sprawdzenie, czy system jest już zainstalowany. Atakujący może nadpisać config.php i utworzyć nowe konto administratora.
- CVE-2026-42287Krytyczne
Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 występowała bezpośrednia podatność na wstrzykiwanie SQL w funkcjach tworzenia i aktualizacji artykułów, co pozwalało atakującym na wykonywanie dowolnych poleceń SQL.
- CVE-2026-21430Krytyczne
Emlog (system budowy stron internetowych) w wersji 2.5.23 ma podatność na CSRF w funkcji tworzenia artykułów. Może to doprowadzić do wymuszenia opublikowania artykułu z dowolną treścią kontrolowaną przez atakującego. W połączeniu z przechowywanym XSS prowadzi to do przejęcia konta.
- CVE-2026-73850Wysokie
Emlog to system budowania stron internetowych o otwartym kodzie źródłowym. W wersji 2.6.20 i wcześniejszych istnieje podatność na wstrzykiwanie SQL w funkcji queryDatabase w pliku ai.php.
- CVE-2026-73847Średnie
Brak ochrony CSRF w akcji execute_tool w admin/ai.php w Emlog 2.6.26 i wcześniejszych pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie sfałszowanego żądania do zalogowanego administratora. Atak może umożliwić odczyt wszystkich tabel bazy danych oraz zapis do wszystkich tabel z wyjątkiem blog, w tym przejęcie konta administratora.
- CVE-2026-46687Wysokie
W systemie Emlog w wersji 2.6.13 i wcześniejszych, interfejs publikowania artykułów przechowuje parametr szablonu z api_controller.php bez walidacji, co umożliwia atakującemu z uprawnieniami autora dołączenie dowolnego lokalnego pliku .php podczas wyświetlania artykułu. Podatność wynika z użycia funkcji file_exists i include View::getView($template) w log_controller.php.
- CVE-2026-34788Średnie
W Emlog w wersji 2.6.2 i wcześniejszych wykryto podatność na SQL injection w funkcji updateTagName() w pliku include/model/tag_model.php. Funkcja bezpośrednio interpoluje dane wejściowe użytkownika do zapytania SQL bez użycia sparametryzowanych zapytań, co umożliwia atak SQL injection.
Oryginalny opis (angielski, źródło NVD)
Emlog is an open source website building system. In 2.6.13 and earlier, the admin backend user search module's keyword parameter from admin/user.php is processed with addslashes but not HTML-escaped before being rendered into the value attribute in admin/views/user.php, allowing reflected cross-site scripting in an administrator's backend session. No fixed version is currently identified.