무슨 일이 있었나
Emlog의 기본 제공 AI 어시스턴트 백엔드 로직에 SQL 인젝션 취약점이 존재하여 AI 기능의 쿼리 경로에 대한 정교한 입력을 통해 데이터베이스 조작을 허용합니다. CVSS 8.6 (높음).
왜 중요한가
AI 어시스턴트 기능을 레거시 CMS 코드베이스에 연결하면 새로운 AI 특정 코드 경로 내에서 클래식 인젝션 취약점을 다시 도입할 수 있음을 보여줍니다. 피해 범위는 Emlog의 설치 기반으로 제한됩니다.
공격 경로
AI 어시스턴트 모듈(ai.php) 내의 queryDatabase 함수는 입력을 살균하지 못하여 CMS의 AI 어시스턴트 관련 엔드포인트를 통한 SQL 인젝션을 허용합니다.
영향받는 시스템
Emlog ≤ 2.6.20
완화 방안
GHSA-jffg-rpvp-2qx7에서 참조된 고정 버전을 지나 Emlog를 업그레이드합니다.