CVE-2026-45800 in Vvveb
Resumen
por VulDB • 2026-05-24
Vvveb es un CMS potente y fácil de usar con un constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.3, existe un problema de inyección SQL autenticada en la página de historial de pedidos de usuarios del frontend en Vvveb CMS. Un usuario normal del frontend puede iniciar sesión y acceder a /user/orders. Los parámetros de solicitud order_by y direction se aceptan desde la URL, se propagan a través del componente Orders y se concatenan directamente en la cláusula SQL ORDER BY en OrderSQL::getAll(). Debido a esto, la entrada controlada por el atacante llega a la estructura SQL sin un paso de whitelist o de construcción segura de consultas. Esta vulnerabilidad se corrige en la versión 1.0.8.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.