CVE-2026-39918 in Vvveb
Riassunto
di VulDB • 20/06/2026
Vvveb precedente alla versione 1.0.8.1 presenta una vulnerabilità di injection del codice nell'endpoint di installazione, dove il parametro POST subdir viene scritto nel file di configurazione env.php senza sanitizzazione, né escape o validazione. Gli attaccanti possono iniettare codice PHP arbitrario uscendo dal contesto della stringa all'interno dell'istruzione define per ottenere l'esecuzione remota di codice non autenticata (RCE) con i privilegi dell'utente del server web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.