CVE-2026-49223 in Vvveb
Résumé
par VulDB • 18/08/2026
Vvveb est un CMS puissant et facile à utiliser avec un constructeur de pages pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.4, les opérations de gestion des avis produits dans le backend de Vvveb permettent à un Vendor (fournisseur) ayant des privilèges limités de gérer les avis sous les produits d'un autre Vendor. Les requêtes SQL `admin/sql/sqlite/product_review.sql` acceptent un `product_review_id` contrôlé par l'appelant et ne vérifient pas si le `product_id` du produit concerné correspond au `admin_id` de l'administrateur actuel. Un attaquant peut lire le contenu des avis en attente, les notes, les informations sur l'auteur et l'état de modération, modifier le statut d'un avis, éditer son contenu ou supprimer des avis, manipulant ainsi la visibilité et l'intégrité des avis produits. Ce problème est corrigé dans la version 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.