CVE-2026-49222 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones de gestión de preguntas del backend de Vvveb permiten que un proveedor con privilegios bajos gestione preguntas bajo los productos de otro proveedor. Las consultas admin/sql/sqlite/product_question.sql aceptan un product_question_id controlado por el llamador y no verifican si product_question.product_id coincide con product.admin_id para el current_admin_id actual. Un atacante puede leer el contenido pendiente de las preguntas y los datos de moderación, cambiar el estado de la pregunta, editar su contenido o eliminarla, manipulando así la visibilidad e integridad del Q&A (preguntas y respuestas) del producto. Este problema se soluciona en la versión 1.0.8.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.