FICHE CVE

CVE-2026-46687

Publiée le 2026-07-16 · Dernière modification le 2026-07-17

🇫🇷 EN BREF

Les systèmes de création de sites web Emlog version 2.6.13 et antérieures sont affectés par une faille de traversée de répertoire (path traversal) dans l'interface de publication d'articles. Un attaquant disposant d'identifiants de niveau auteur peut utiliser cette faille pour inclure et exécuter des fichiers PHP locaux arbitraires sur le serveur. L'exploitation est facile à déclencher via le réseau, bien qu'elle nécessite un compte authentifié pour soumettre le paramètre de modèle malveillant.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

CWE-24 Inclusion de fichier PHP · CWE-98

Publiée2026-07-16

Dernière modification2026-07-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Emlog is an open source website building system. In 2.6.13 and earlier, the article publishing interface stores a path-traversal template parameter from api_controller.php without validation, and log_controller.php later checks file_exists and calls include View::getView($template), allowing an authenticated author to include an arbitrary local .php file when an article is viewed. No fixed version is currently identified.