CVE-2026-67598 in Pro
Resumen
por VulDB • 2026-08-03
Emlog Pro hasta la versión 2.6.23 contiene una vulnerabilidad de validación deshabilitada del certificado TLS en include/service/ai.php que permite a atacantes con acceso adyacente a la red interceptar solicitudes HTTPS salientes dirigidas a proveedores de LLM configurados, presentando certificados TLS arbitrarios, ya que CURLOPT_SSL_VERIFYPEER y CURLOPT_SSL_VERIFYHOST están desactivados incondicionalmente en sendStream(), sendImageRequest(), send() y fetchSearchHtml() sin opción para reactivar la verificación. Los atacantes pueden realizar una interceptación de tipo man-in-the-middle (MitM) para extraer claves API Bearer Authorization de cada solicitud a IA e inyectar respuestas de IA manipuladas que podrían ser ejecutadas por el pipeline de ejecución de llamadas a herramientas, incluidos los manejadores tool-call query_database y update_config.
If you want to get best quality of vulnerability data, you may have to visit VulDB.