CVE-2026-42287: Injeção de SQL no Emlog na criação e atualização de artigos

Visão geral

O Emlog é um sistema open source para construção de sites. O aviso de segurança do GitHub vinculado a esta CVE descreve uma injeção de SQL direta (CWE-89) nas funções de criação e atualização de artigos em versões anteriores à 2.6.11. O problema é indicado como corrigido na versão 2.6.11.

Impacto

• O vetor CVSS 4.0 presente no registro indica alto impacto em confidencialidade, integridade e disponibilidade, sem necessidade de privilégios ou de interação do usuário.
• A descrição aponta possíveis consequências como comprometimento completo do banco de dados, roubo de dados ou destruição do sistema.

Produtos e versões afetados

• Produto: Emlog.
• Afetados: versões anteriores à 2.6.11, conforme a descrição.
• Corrigido: versão 2.6.11, conforme a descrição.
• Os campos estruturados de versões afetadas e correções do registro estão vazios, portanto o intervalo exato de afetação só pode ser conhecido pelo texto da descrição.

Status de exploração

A vulnerabilidade não consta como listada no catálogo KEV no registro, por isso nenhuma exploração ativa é confirmada pelas fontes consultadas. A probabilidade EPSS é 0,00386, com percentil de 0,3075, conforme informado no registro.

Correção e mitigação

• Atualize o Emlog para a versão 2.6.11 ou superior.
• Se a atualização não puder ser aplicada imediatamente, restrinja o acesso às funções administrativas e de edição de conteúdo a usuários e redes de confiança.
• Revise os privilégios da conta de banco de dados usada pela aplicação e aplique o princípio do menor privilégio.
• Mantenha backups verificados para permitir a restauração caso a integridade dos dados seja afetada.

Orientações de detecção

• Analise os logs do servidor web e da aplicação em busca de requisições incomuns às funções de criação e edição de artigos, principalmente conteúdo inesperado em parâmetros ou picos de erros.
• Observe mensagens de erro do banco de dados exibidas aos usuários e alterações inesperadas em tabelas de artigos ou de outros conteúdos.
• Monitore a criação de contas administrativas não previstas e modificações de conteúdo não autorizadas.

Limitações das informações disponíveis

• O registro não possui campos estruturados de versões afetadas ou corrigidas e contém apenas uma referência de aviso.
• O registro não identifica os parâmetros ou endpoints específicos envolvidos.
• O registro não inclui detalhes públicos de exploração, e esta análise também não fornece nenhum.

Perguntas frequentes

Quais versões do Emlog são afetadas pela CVE-2026-42287?

Segundo a descrição, são afetadas as versões anteriores à 2.6.11. O campo estruturado de versões afetadas do registro está vazio.

Existe correção para esta vulnerabilidade?

A descrição informa que o problema foi corrigido na versão 2.6.11. Atualizar para essa versão ou superior é a correção recomendada.

Esta vulnerabilidade é conhecida por ser explorada na prática?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.