CVE-2026-49224 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones post-revisión del backend de Vvveb permiten a un usuario con privilegios bajos (Author) acceder a revisiones de publicaciones propiedad de otro Author. El controlador admin/controller/content/revisions.php y las consultas SQL en admin/sql/sqlite/post_content_revision.sql confían en los valores post_id, language_id y created_at controlados por el solicitante sin aplicar consistentemente el current_admin_id a las listas de revisión, lecturas, restauraciones y eliminaciones. Un atacante puede leer contenido histórico de publicaciones, restaurar una revisión sobre el contenido publicado actual de otro Author o eliminar registros de revisiones, exponiendo borradores, corrompiendo contenido publicado y eliminando la historia de auditoría. Este problema se soluciona en la versión 1.0.8.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.