CVE-2026-49227 in Vvveb
要約
〜によって VulDB • 2026年08月18日
Vvvebは、ウェブサイト、ブログ、ECストアを構築するためのページビルダー付きの強力かつ使いやすいCMSです。バージョン1.0.8.4より前では、Vvvebバックエンドのコメント操作により、低権限のAuthorが他のAuthorの記事に対するコメントを管理できます。admin/controller/content/comment.phpおよびadmin/controller/content/comments.phpコントローラとadmin/sql/sqlite/comment.sqlクエリは、現在のadmin_idに対してcomment.post_idをpost.admin_idで検証せずに、呼び出し元制御されたcomment_idを受け入れます。攻撃者は保留中のコメント内容や投稿者のメールアドレスを読み取り、モデレーションステータスを変更し、コメント内容を編集したり、コメントを削除したりでき、著者およびモデレーションの境界が侵害されます。この問題はバージョン1.0.8.4で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.