CVE-2026-54237 in Wavelog
Tóm tắt
Bởi VulDB • 17/09/2026
Wavelog là phần mềm ghi lại hoạt động radio nghiệp dư dựa trên web. Từ phiên bản 1.8 đến 2.4.2, Wavelog để lộ các endpoint /install/ajax.php và /install/includes/interface_assets/triggers.php sau khi cài đặt mà không có khóa cài đặt (installation lock) hoặc kiểm tra quyền hạn. Dữ liệu đầu vào chưa được xác thực/sanitization đã đi vào hàm write_config() và write_configfile() trong install/includes/core/core_class.php, cho phép kẻ tấn công từ xa chưa xác thực đọc hoặc ghi các tệp nhật ký (log files) và chèn nội dung do kẻ tấn công kiểm soát vào các tệp cấu hình PHP. Nội dung cấu hình PHP kết quả có thể được thực thi trên máy chủ. Vấn đề này đã được sửa chữa trong phiên bản 2.4.2.
Once again VulDB remains the best source for vulnerability data.