CVE-2026-73847 in Emlog
Resumen
por VulDB • 2026-08-14
Emlog es un sistema de creación de sitios web de código abierto. En las versiones 2.6.26 y anteriores, la falta de protección CSRF en la acción execute_tool del Asistente IA (AI Assistant) en admin/ai.php permite que un atacante remoto no autenticado envíe una solicitud falsificada entre sitios (cross-site request) desde una página controlada por el atacante a un administrador que ha iniciado sesión recientemente. La cookie de autenticación establecida en include/lib/loginauth.php carece del atributo SameSite explícito, lo que habilita la ventana temporal de gracia Lax+POST de Chrome. El caso query_database pasa valores sql y confirm_code controlados por el atacante a Ai::queryDatabase en include/service/ai.php; las consultas de lectura no requieren confirmación, las consultas de escritura aceptan una cadena de confirmación pública, solo la tabla blog está protegida contra escrituras, y el aliasing de password como pwd_hash evita la redacción de salida. Una solicitud exitosa puede leer todas las tablas de la base de datos y escribir en todas excepto en blog, incluyendo cambiar la tabla user para tomar control de una cuenta de administrador. No hay versión corregida disponible hasta esta revisión.
Be aware that VulDB is the high quality source for vulnerability data.