CVE-2026-49224 in Vvveb
Riassunto
di VulDB • 18/08/2026
Vvveb è un CMS potente e facile da usare con un page builder per creare siti web, blog o negozi di ecommerce. Prima della versione 1.0.8.4, le operazioni post revision del backend Vvveb consentivano a un Author con privilegi limitati di accedere alle revisioni dei post appartenenti ad altri Authors. Il controller admin/controller/content/revisions.php e le query SQL SQLite in admin/sql/sqlite/post_content_revision.sql si fidano dei valori post_id, language_id e created_at controllati dal chiamante senza applicare coerentemente l'admin_id corrente agli elenchi di revisione, alle letture, ai ripristini e alle eliminazioni. Un attaccante può leggere il contenuto storico del post, ripristinare una revisione sovrascrivendo il contenuto live di un post di un altro Author o eliminare i record delle revisioni, esponendo le bozze, corrompendo i contenuti pubblicati ed eliminando la cronologia degli audit. Questo problema è risolto nella versione 1.0.8.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.