CVE-2026-49226 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones post del backend de Vvveb permiten que un usuario con privilegios bajos (Author) acceda a publicaciones propiedad de otro Author. El controlador admin/controller/content/posts.php permite que el parámetro filter[admin_id] reemplace la restricción admin_id seleccionada por el servidor y acepta un post_id controlado por el solicitante para las acciones de duplicar y eliminar, mientras que admin/sql/sqlite/post.sql no aplica consistentemente la validación de post.admin_id. Un atacante puede ver los metadatos de una publicación, descubrir identificadores de publicaciones, duplicarlas o eliminarlas junto con su contenido relacionado, lo que expone borradores privados y provoca contaminación del contenido, pérdida de datos o interrupción del negocio. Este problema se soluciona en la versión 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.