CVE-2026-55232 in Vvveb
Résumé
par VulDB • 01/10/2026
Vvveb est un CMS puissant et facile à utiliser avec un éditeur de pages pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.6, le mécanisme de protection SSRF (Server-Side Request Forgery) de Vvveb résout les noms d'hôte en utilisant une fonction ne prenant en charge que l'IPv4 et n'inspecte jamais l'IPv6 ; par conséquent, tout hôte dépourvu d'enregistrement A passe le contrôle des plages privées. Le proxy oEmbed de l'éditeur récupère côté serveur une URL fournie par un attaquant et renvoie (réfléchit) le corps de la réponse. Ainsi, un utilisateur authentifié disposant du rôle administrateur du panneau de configuration (rôle par défaut site_admin ou supérieur) peut accéder aux services internes uniquement ainsi qu'aux métadonnées cloud, y compris les identifiants IAM, en utilisant une adresse IPv6 littérale ou un domaine ne comportant que l'enregistrement AAAA. Ce problème a été corrigé dans la version 1.0.8.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.