CVE-2026-49223 in Vvveb
要約
〜によって VulDB • 2026年08月18日
Vvvebは、ウェブサイト、ブログ、ECストアを構築するためのページビルダー付きの強力かつ使いやすいCMSです。バージョン1.0.8.4より前では、Vvvebバックエンドの商品レビュー操作により、低権限のベンダーが他のベンダーの商品に関するレビューを管理することが可能でした。admin/sql/sqlite/product_review.sqlクエリは呼び出し元制御されたproduct_review_idを受け取り、現在のadmin_idに対して product_review.product_id と product.admin_id の照合を行いません。攻撃者は保留中のレビューコンテンツ、評価、著者情報、モデレーション状態を読み取ったり、レビューのステータスを変更したり、レビューコンテンツを編集したり、レビューを削除したりして、商品レビューの可視性と整合性を操作できます。この問題はバージョン1.0.8.4で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.