CVE-2025-25783

Emlog Pro – dowolne przesyłanie plików umożliwiające RCE (admin/plugin.php)

CVSS 9.8v3.1pub. 2025-02-26upd. 2026-07-05

Podatność w komponencie admin\plugin.php systemu Emlog Pro v2.5.3 pozwala atakującemu na wgranie złośliwego pliku Zip i wykonanie dowolnego kodu na serwerze. Krytyczny poziom zagrożenia wynika z braku wymagania uwierzytelnienia oraz możliwości pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

An arbitrary file upload vulnerability in the component admin\plugin.php of Emlog Pro v2.5.3 allows attackers to execute arbitrary code via uploading a crafted Zip file.

🤖 Analiza AI

Jak działa

Mechanizm podatności opiera się na braku odpowiedniej walidacji przesyłanych plików (CWE-434 – Unrestricted Upload of File with Dangerous Type). Atakujący przesyła spreparowany plik Zip do komponentu obsługującego wtyczki (admin\plugin.php). Po stronie serwera plik jest rozpakowywany i przetwarzany bez weryfikacji jego zawartości, co umożliwia umieszczenie złośliwego pliku wykonywalnego (np. webshella) w dostępnym katalogu aplikacji. W konsekwencji atakujący może wywołać ten plik i wykonać dowolne polecenia systemowe.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem – wykonać dowolny kod (RCE), uzyskać dostęp do poufnych danych, zmodyfikować zawartość aplikacji lub wykorzystać serwer jako punkt wyjścia do dalszych ataków w sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.emlog.net/). Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych adresów IP oraz monitorowanie katalogu wtyczek pod kątem nieautoryzowanych plików.

Kogo dotyczy

Emlog Pro v2.5.3

Uwagi

Publiczny proof-of-concept dostępny w repozytorium GitHub (https://github.com/Ka7arotto/emlog/blob/main/emlog-3.md), co zwiększa ryzyko aktywnego wykorzystania podatności.