CVE-2026-34607
Açıklama
Emlog açık kaynaklı bir web sitesi oluşturma sistemidir. 2.6.2 ve önceki sürümlerde, emUnZip() fonksiyonunda (include/lib/common.php:793) bir path traversal zafiyeti bulunmaktadır. ZIP arşivleri çıkartılırken (eklenti/tema yüklemeleri, yedek içe aktarmaları), fonksiyon ZIP giriş isimlerini sanitize etmeden $zip->extractTo($path) işlemini çağırır. Kimliği doğrulanmış bir yönetici, sunucu dosya sistemine PHP webshell'ler dahil olmak üzere rastgele dosyalar yazmak için ../ dizileri içeren özel olarak hazırlanmış bir ZIP dosyası yükleyebilir ve bu sayede Uzaktan Kod Çalıştırma (RCE) gerçekleştirebilir. Yayınlandığı sırada, kamuya açık herhangi bir yama bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| emlog emlog | v ≤ 2.6.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.