CVE-2026-49226 in Vvveb
الملخص
بحسب VulDB • 18/08/2026
Vvveb هو نظام إدارة محتوى (CMS) قوي وسهل الاستخدام، يتضمن باني صفحات لبناء المواقع الإلكترونية والمدونات أو متاجر التجارة الإلكترونية. قبل الإصدار 1.0.8.4، تتيح عمليات النشر الخلفية في Vvveb لمستخدم ذي صلاحيات منخفضة (Author) الوصول إلى المنشورات المملوكة لـ Author آخر. يسمح المتحكم `admin/controller/content/posts.php` باستبدال قيد `admin_id` الذي يحدده الخادم عبر معلمة `filter[admin_id]، ويقبل قيمة `post_id` يتحكم فيها المُدعى لاستخدامها في إجراءات النسخ والحذف، بينما لا يفرض ملف `admin/sql/sqlite/post.sql` بشكل متسق قيود `post.admin_id`. يمكن للمهاجم عرض بيانات التعريف الخاصة بالمنشورات (metadata)، واكتشاف معرّفات المنشورات، ونسخ المنشورات أو حذفها والمحتوى ذي الصلة، مما يعرّض المسودات الخاصة للخطر ويسبب تلوث المحتوى وفقدان البيانات أو تعطيل الأعمال. تم إصلاح هذه المشكلة في الإصدار 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.