CVE-2026-73848
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W Emlog, otwartoźródłowym systemie budowy stron internetowych, w wersjach 2.6.29 i wcześniejszych, nazwy tagów nie są kodowane HTML podczas renderowania w edytorze artykułów. Atakujący może utworzyć tag zawierający ');alert(document.domain);//. Funkcja addslashes() nie koduje encji HTML, więc ' jest przechowywane bez zmian. Gdy przeglądarka renderuje stronę, dekoduje ' z powrotem do dosłownego pojedynczego cudzysłowu przed wykonaniem JavaScript, co pozwala na wyjście ze stringa i wykonanie dowolnego kodu. W momencie publikacji nie są znane publiczne poprawki.
Ocena ryzyka
Podatność umożliwia atakującemu wykonanie skryptów w kontekście przeglądarki ofiary (XSS), co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków na użytkowników.
Rekomendacja
Zaleca się ograniczenie możliwości tworzenia tagów przez niezaufanych użytkowników oraz monitorowanie forów i kanałów bezpieczeństwa w poszukiwaniu poprawek. Należy również rozważyć tymczasowe wyłączenie edytora artykułów lub zastosowanie filtrów wejściowych.
Inne podatności w Emlog
Zobacz wszystkie- CVE-2026-42286Wysokie
Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 brakowało ochrony CSRF w krytycznych funkcjach administracyjnych, co pozwalało atakującym na oszukiwanie uwierzytelnionych administratorów w celu wykonywania nieautoryzowanych działań, takich jak rejestracja systemu, zarządzanie wtyczkami i zmiany w konfiguracji.
- CVE-2026-22799Wysokie
Emlog, otwartoźródłowy system budowy stron internetowych, w wersji 2.6.1 i wcześniejszych udostępnia punkt końcowy REST API (/index.php?rest-api=upload) do przesyłania plików multimedialnych. Punkt końcowy nie przeprowadza prawidłowej walidacji typów plików, rozszerzeń i zawartości, co pozwala uwierzytelnionym atakującym (z ważnym kluczem API lub ciasteczkiem sesji administratora) na przesyłanie dowolnych plików (w tym złośliwych skryptów PHP) na serwer. Atakujący może uzyskać klucz API poprzez uzyskanie dostępu administratora lub wykorzystanie podatności na ujawnienie informacji. Po przesłaniu złośliwy plik PHP może zostać wykonany, co prowadzi do zdalnego wykonania kodu (RCE) i pełnej kompromitacji serwera.
- CVE-2026-21433Wysokie
Emlog to system budowania stron internetowych. Wersje do 2.5.19 włącznie są podatne na żądania poza pasmem (OOB) / SSRF po stronie serwera poprzez przesłane pliki SVG. Atakujący może przesłać spreparowany plik SVG zawierający zewnętrzne odwołania do zasobów, co powoduje wysłanie żądania HTTP do kontrolowanego przez atakującego hosta podczas przetwarzania pliku.
- CVE-2026-73849Krytyczne
Emlog w wersji 2.6.26 i wcześniejszych pozwala na nieuwierzytelnione ponowne uruchomienie instalacji (action=reinstall) w install.php, które pomija sprawdzenie, czy system jest już zainstalowany. Atakujący może nadpisać config.php i utworzyć nowe konto administratora.
- CVE-2026-42287Krytyczne
Emlog to system budowy stron internetowych typu open source. W wersjach przed 2.6.11 występowała bezpośrednia podatność na wstrzykiwanie SQL w funkcjach tworzenia i aktualizacji artykułów, co pozwalało atakującym na wykonywanie dowolnych poleceń SQL.
- CVE-2026-21430Krytyczne
Emlog (system budowy stron internetowych) w wersji 2.5.23 ma podatność na CSRF w funkcji tworzenia artykułów. Może to doprowadzić do wymuszenia opublikowania artykułu z dowolną treścią kontrolowaną przez atakującego. W połączeniu z przechowywanym XSS prowadzi to do przejęcia konta.
- CVE-2026-53758Wysokie
Emlog w wersjach 2.6.29 i wcześniejszych przetwarza treść artykułów przez Parsedown bez włączonego trybu bezpiecznego, co pozwala na przekazanie surowego HTML, w tym znaczników <script>, bez escapowania. Powoduje to trwały XSS widoczny dla wszystkich odwiedzających.
- CVE-2026-53757Średnie
Emlog do wersji 2.6.29 włącznie ma podatność w funkcji emUnZip(), która rozpakowuje archiwa ZIP bez walidacji ścieżek wpisów pod kątem sekwencji ../. Atakujący może nadpisać dowolne pliki na serwerze, w tym config.php, co prowadzi do natychmiastowego zdalnego wykonania kodu (RCE). W chwili publikacji nie są znane publiczne łatki.
- CVE-2026-53756Średnie
Emlog przed wersją 2.6.16 ma podatność na ślepą iniekcję SQL w User_Model::getUserDataByLogin(). Parametr $account jest bezpośrednio interpolowany do zapytań SQL bez filtrowania. Podatność jest osiągalna przez ścieżkę walidacji ciasteczka auth, gdzie $username jest wyodrębniane z ciasteczka i przekazywane bez filtrowania do SQL — chronione jedynie podpisem HMAC wymagającym klucza AUTH_KEY do sfałszowania.
- CVE-2026-73850Wysokie
Emlog to system budowania stron internetowych o otwartym kodzie źródłowym. W wersji 2.6.20 i wcześniejszych istnieje podatność na wstrzykiwanie SQL w funkcji queryDatabase w pliku ai.php.
Oryginalny opis (angielski, źródło NVD)
Emlog is an open source website building system. In versions 2.6.29 and prior, tag names in emlog are not HTML-encoded when rendered in the article editor. An attacker can create a tag containing ');alert(document.domain);//. The addslashes() function does not escape HTML entities, so ' is stored as-is. When the browser renders the page, it decodes ' back to a literal single quote before evaluating the JavaScript, breaking out of the string and executing arbitrary code. At time of publication, there are no publicly known patches.