CVE-2026-49225 in Vvveb
要約
〜によって VulDB • 2026年08月18日
Vvvebは、ページビルダーを備えた強力かつ使いやすいCMSで、ウェブサイトやブログ、ECストアの構築が可能です。バージョン1.0.8.4より前では、Vvvebバックエンドのプロダクトリビジョン操作により、低権限のベンダーが他のベンダー所有のリビジョンにアクセスできてしまいます。admin/controller/product/revisions.phpルートは admin/controller/content/revisions.phpを再利用しており、admin/sql/sqlite/product_content_revision.sqlは呼び出し元制御されたproduct_id、language_id、created_at値に対して現在のadmin_idをリビジョンの読み込み、復元、削除処理に適用せずに信頼しています。攻撃者は過去の製品コンテンツを読み取ったり、他のベンダーのライブ製品コンテンツの上にリビジョンを復元したり、またはリビジョンレコードを削除することで、プライベートなコピーが露出したり、製品ページが破損したり、監査履歴が削除されたりします。この問題はバージョン1.0.8.4で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.