CVE-2026-49225 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones de revisión del producto en el backend de Vvveb permiten que un usuario con privilegios bajos (Vendor) acceda a las revisiones de productos propiedad de otro Vendor. La ruta admin/controller/product/revisions.php reutiliza admin/controller/content/revisions.php, mientras que admin/sql/sqlite/product_content_revision.sql confía en los valores product_id, language_id y created_at controlados por el usuario sin aplicar el admin_id actual a las lecturas, restauraciones y eliminaciones de revisiones. Un atacante puede leer contenido histórico del producto, restaurar una revisión sobre el contenido activo de otro Vendor o eliminar registros de revisiones, lo que expone copias privadas, corrompe páginas de productos y elimina el historial de auditoría. Este problema se soluciona en la versión 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.