EMLOG Pro 2.5.21中的XSS漏洞CVE-2025-61599

EMLOG Pro 最显著的优势在于资源占用低与访问速度快，核心程序包仅百KB，远小于同类系统，适合低配服务器或预算有限的个人用户。

一、基本情况

EMLOG Pro系统架构设计简洁，避免了过度封装导致的性能损耗，在同等服务器配置下，页面响应速度通常比同类型的CMS快 30% 以上。

EMLOG Pro 2.5.21版本发布于 2025年09月19日，优化了评论回复邮件格式、资源管理支持添加外部资源，文章管理标记是否存在封面图。

栋科技漏洞库关注到EMLOG Pro受影响版本中存在一个存储型跨站脚本 XSS 漏洞，漏洞被追踪为CVE-2025-61599，CVSS 3.X评分5.1。

二、漏洞分析

CVE-2025-61599是位于EMLOG Pro 2.5.21及以下版本“Twitter”（微语）功能存储的跨站点脚本（Cross-Site Scripting，简称XSS）漏洞。

该漏洞源于Markdown编辑器的输入在“Twitter”帖子的详细视图中呈现之前没有得到适当的净化，导致认证用户可注入任意JavaScript代码。

恶意脚本会被存储在服务器上，当任何用户（包括管理员）点击恶意帖子查看时，该脚本就会在他们的浏览器上执行，潜在影响较为严重。

该漏洞允许攻击者在诱骗受害者点击看似无害的帖子后，在受害者浏览器的上下文中执行任意JavaScript。这可能会导致各种攻击，例如：

窃取敏感信息（Cookie、会话令牌）；代表登录用户执行操作（例如更改密码、删除文章、修改网站设置）；将用户重定向到恶意网站等。

虽然摘要列表可能是安全的，但应用程序无法消除恶意HTML标签，如<img ... onerror=...>

当用户单击以与内容交互或展开内容时，允许执行嵌入式脚本。

易受攻击的页面位于：http://xxx.xxx.xxx.xxx/admin/twitter.php

三、POC概念验证

1、登录EMLOG管理面板。

2、导航到“Twitter”功能，或直接访问：http://[your_domain]/admin/Twitter.php

3、在Markdown输入字段中，输入以下有效载荷：

管理员已设置登录后刷新可查看

4、点击 “发布：（Publish）按钮，新帖子将出现在下面的列表中（如提供的屏幕截图所示）

5、点击列表中新创建的帖子。

6、The JavaScript alert(1) 将被执行，表明XSS漏洞是由用户交互触发的

四、影响范围

EMLOG Pro <= 2.5.21

五、修复建议

EMLOG Pro >= 2.5.21

六、参考链接

管理员已设置登录后刷新可查看