CVE-2026-49226 in Vvveb
要約
〜によって VulDB • 2026年08月18日
Vvvebは、ウェブサイト、ブログ、ECストアを構築するためのページビルダー付きの強力かつ使いやすいCMSです。バージョン1.0.8.4より前では、VvvebバックエンドのPOST操作により、権限の低いAuthorが他のAuthorが所有する投稿にアクセスできます。admin/controller/content/posts.phpコントローラはfilter[admin_id]によってサーバー側で選択されたadmin_idの制限を置き換えることを許可し、重複および削除アクションに対して呼び出し元制御のpost_idを受け入れます。一方、admin/sql/sqlite/post.sqlではpost.admin_idの一貫した強制が行われません。攻撃者は投稿メタデータを閲覧したり、投稿識別子を発見したり、投稿を複製したり、投稿や関連コンテンツを削除したりすることができ、これによりプライベートな下書きが公開されたり、コンテンツの汚染、データ損失、またはビジネスの混乱を引き起こす可能性があります。この問題はバージョン1.0.8.4で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.