CVE-2026-49228 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones del backend de productos en Vvveb permiten que un usuario con privilegios bajos (Vendor) acceda a los productos propiedad de otro Vendor. El controlador admin/controller/product/products.php acepta un product_id controlado por el solicitante para acciones de duplicación y eliminación, y admin/sql/sqlite/product.sql carga y modifica productos sin aplicar consistentemente el current_admin_id cuando faltan las opciones view_other_products o edit_other_products. Un atacante puede leer los detalles del producto, duplicar productos o eliminarlos junto con sus datos relacionados del catálogo, lo que expone información comercial y provoca copias no autorizadas, contaminación del catálogo, pérdida de datos o interrupción del negocio. Este problema se corrige en la versión 1.0.8.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.