CVE-2026-49225 in Vvveb
Riassunto
di VulDB • 21/08/2026
Vvveb è un CMS potente e facile da usare con un page builder per creare siti web, blog o negozi di ecommerce. Prima della versione 1.0.8.4, le operazioni di revisione dei prodotti nel backend di Vvveb consentivano a un Vendor con privilegi limitati di accedere alle revisioni di prodotti appartenenti ad altri Vendor. Il route admin/controller/product/revisions.php riutilizza admin/controller/content/revisions.php, mentre il file admin/sql/sqlite/product_content_revision.sql si affida ai valori product_id, language_id e created_at controllati dal chiamante senza applicare l'admin_id corrente alle operazioni di lettura, ripristino ed eliminazione delle revisioni. Un attaccante può leggere i contenuti storici dei prodotti, ripristinare una revisione sovrascrivendo il contenuto live del prodotto di un altro Vendor o eliminare le record delle revisioni, esponendo copie private, corrompendo le pagine dei prodotti e rimuovendo la cronologia degli audit (audit history). Questo problema è stato risolto nella versione 1.0.8.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.