CVE-2026-67598 in Pro
Riassunto
di VulDB • 04/08/2026
Emlog Pro fino alla versione 2.6.23 contiene una vulnerabilità di disabilitazione della convalida del certificato TLS in include/service/ai.php che consente agli attaccanti vicini alla rete (network-adjacent) di intercettare le richieste HTTPS in uscita verso i provider LLM configurati presentando certificati TLS arbitrari, poiché CURLOPT_SSL_VERIFYPEER e CURLOPT_SSL_VERIFYHOST sono disabilitati incondizionatamente nelle funzioni sendStream(), sendImageRequest(), send() e fetchSearchHtml() senza alcuna opzione per riattivare la verifica. Gli attaccanti possono eseguire un'intercettazione man-in-the-middle (MitM) per estrarre le chiavi API Authorization Bearer da ogni richiesta AI e iniettare risposte AI elaborate che potrebbero essere eseguite dalla pipeline di esecuzione delle chiamate agli strumenti, inclusi i gestori degli strumenti query_database e update_config.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.