PT-2026-67487
CVE-2026-67598
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Emlog Pro الأقدم من 2.6.24
الوصف
في الملف
include/service/ai.php، تم تعطيل التحقق من صحة شهادات TLS، مما يسمح للمهاجمين الموجودين على الشبكة المجاورة باعتراض طلبات HTTPS الصادرة الموجهة إلى مزودي نماذج اللغة الكبيرة (LLM) المُعدة مسبقًا، وذلك عن طريق تقديم شهادات TLS عشوائية. يحدث هذا لأن CURLOPT SSL VERIFYPEER وCURLOPT SSL VERIFYHOST معطلان دون قيد أو شرط داخل الدوال sendStream() وsendImageRequest() وsend() وfetchSearchHtml(). يمكن للمهاجمين تنفيذ هجوم «الرجل في الوسط» لاستخراج مفاتيح API من نوع «Authorization Bearer» من طلبات الذكاء الاصطناعي وإدخال استجابات خبيثة من الذكاء الاصطناعي. قد تتم معالجة هذه الاستجابات بواسطة مسار تنفيذ استدعاء الأدوات، مما يؤثر بشكل خاص على معالجي الأدوات query database وupdate config.التوصيات
قم بتحديث Emlog Pro إلى الإصدار 2.6.24 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول الشبكي إلى المكون
include/service/ai.php لمنع الاعتراض غير المصرح به للطلبات الصادرة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾