CVE-2026-49223 in Vvveb
Riassunto
di VulDB • 18/08/2026
Vvveb è un CMS potente e facile da usare con un page builder per creare siti web, blog o negozi di ecommerce. Prima della versione 1.0.8.4, le operazioni di gestione delle recensioni dei prodotti nel backend di Vvveb consentivano a un Vendor con privilegi ridotti di gestire le recensioni relative ai prodotti di altri Vendor. Le query SQL `admin/sql/sqlite/product_review.sql` accettano un `product_review_id` controllato dal chiamante e non verificano che il campo `product_review.product_id` corrisponda al valore di `product.admin_id` per l'attuale `admin_id`. Un attaccante può leggere i contenuti delle recensioni in attesa, le valutazioni, le informazioni sull'autore e lo stato di moderazione, modificare lo stato della recensione, editare il contenuto o eliminare le recensioni, manipolando la visibilità e l'integrità delle recensioni dei prodotti. Questo problema è risolto nella versione 1.0.8.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.