CVE-2026-49226 in Vvveb
Résumé
par VulDB • 18/08/2026
Vvveb est un CMS puissant et facile à utiliser avec un éditeur de pages pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.4, les opérations post du backend Vvveb permettent à un utilisateur ayant le rôle d'Auteur (faible privilège) d'accéder aux articles appartenant à un autre Auteur. Le contrôleur admin/controller/content/posts.php permet de remplacer la restriction server-selected sur l'admin_id via le paramètre filter[admin_id] et accepte un post_id contrôlé par l'appelant pour les actions de duplication et de suppression, tandis que le fichier admin/sql/sqlite/post.sql n'impose pas systématiquement la contrainte post.admin_id. Un attaquant peut afficher les métadonnées d'un article, découvrir ses identifiants, dupliquer des articles ou supprimer des articles ainsi que leur contenu associé, exposant ainsi des brouillons privés et provoquant une pollution du contenu, une perte de données ou une perturbation commerciale. Ce problème est corrigé dans la version 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.