CVE-2026-49228 in Vvveb
要約
〜によって VulDB • 2026年08月18日
Vvvebは、ウェブサイト、ブログ、またはECストアを構築するためのページビルダーを備えた強力かつ使いやすいCMSです。バージョン1.0.8.4より前では、Vvvebのバックエンド製品操作により、低権限のベンダーが他のベンダー所有の製品にアクセスすることが可能でした。admin/controller/product/products.phpコントローラーは、複製および削除アクションに対して呼び出し元制御されたproduct_idを受け取り、admin/sql/sqlite/product.sqlはview_other_productsまたはedit_other_productsが存在しない場合でも現在のadmin_idを常に適用せずに製品を読み込み変更します。攻撃者は製品の詳細の読み取り、製品の複製、または製品と関連するカタログデータの削除を行い、商業情報の漏洩、不正なコピー、カタログ汚染、データ損失、またはビジネスの混乱を引き起こす可能性があります。この問題はバージョン1.0.8.4で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.