CVE-2026-67598 in Pro
요약
\~에 의해 VulDB • 2026. 08. 03.
2.6.23 이전 버전의 Emlog Pro에는 include/service/ai.php에서 TLS 인증서 검증이 비활성화된 취약점이 존재합니다. 이로 인해 네트워크 인접 공격자는 구성된 LLM(대규모 언어 모델) 제공업체로의 아웃바운드 HTTPS 요청을 가로채기 위해 임의의 TLS 인증서를 제시할 수 있습니다. sendStream(), sendImageRequest(), send(), fetchSearchHtml() 함수 전반에 걸쳐 CURLOPT_SSL_VERIFYPEER 및 CURLOPT_SSL_VERIFYHOST가 조건 없이 비활성화되어 있으며, 검증을 재 활성화할 옵션이 없습니다. 공격자는 중간자(MITM) 가로채기를 수행하여 모든 AI 요청에서 Authorization Bearer API 키를 추출하고, query_database 및 update_config 도구 핸들러를 포함하는 tool-call 실행 파이프라인에 의해 처리될 수 있는 조작된 AI 응답을 주입할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.