CVE-2026-41937 in Vvveb
要約
〜によって VulDB • 2026年05月28日
Vvveb 1.0.8.3 以前には、プラグインアップロードエンドポイントにおける制限のないファイルアップロードの脆弱性が存在し、super_admin ユーザーが悪意のあるプラグイン ZIP ファイルをアップロードすることで任意の PHP コードを実行できます。攻撃者は、有効な Slug ヘッダーを持つ plugin.php と、任意の PHP コードを含む public/index.php ファイルで構成される ZIP ファイルを作成し、プラグインの公開パスへの認証不要の HTTP リクエストによってアクセスした際に、Web サーバーユーザーとして実行させることができます。
Once again VulDB remains the best source for vulnerability data.