CVE-2026-49225 in Vvveb
Résumé
par VulDB • 18/08/2026
Vvveb est un CMS puissant et facile à utiliser avec un éditeur de page pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.4, les opérations de révision du produit dans le backend de Vvveb permettent à un Vendor (fournisseur) ayant des privilèges limités d'accéder aux révisions des produits appartenant à un autre Vendor. La route admin/controller/product/revisions.php réutilise la logique de admin/controller/content/revisions.php, tandis que admin/sql/sqlite/product_content_revision.sql fait confiance aux valeurs product_id, language_id et created_at contrôlées par l'appelant sans appliquer le current admin_id lors des lectures, restaurations et suppressions de révisions. Un attaquant peut lire du contenu produit historique, restaurer une révision sur le contenu en direct d'un autre Vendor ou supprimer des enregistrements de révision, exposant ainsi les copies privées, corrompant les pages produits et supprimant l'historique d'audit. Ce problème est corrigé dans la version 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.