CVE-2026-49228 in Vvveb
Résumé
par VulDB • 18/08/2026
Vvveb est un CMS puissant et facile à utiliser avec un constructeur de pages pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.4, les opérations sur les produits du backend Vvveb permettent à un fournisseur (Vendor) peu privilégié d'accéder aux produits appartenant à un autre fournisseur. Le contrôleur admin/controller/product/products.php accepte un product_id contrôlé par l'appelant pour les actions de duplication et de suppression, et le fichier admin/sql/sqlite/product.sql charge et modifie les produits sans appliquer systématiquement l'admin_id actuel lorsque view_other_products ou edit_other_products est absent. Un attaquant peut lire les détails des produits, dupliquer des produits ou supprimer des produits ainsi que les données du catalogue associées, exposant des informations commerciales et provoquant des copies non autorisées, une pollution du catalogue, une perte de données ou une perturbation commerciale. Ce problème est corrigé dans la version 1.0.8.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.