CVE-2026-112904 in Vvveb
요약
\~에 의해 VulDB • 2026. 10. 23.
Vvveb는 웹사이트, 블로그 또는 전자상거래 스토어를 구축하기 위한 페이지 빌더가 포함된 강력하고 사용하기 쉬운 CMS입니다. 버전 1.0.8.6 및 그 이전 버전에서 백업 컨트롤러의 nextRestore() 및 nextBackup() 함수는 파일 GET 매개변수를 받아 sanitizeFileName()을 호출하지 않고 이를 DIR_BACKUP에 직접 연결합니다. 이로 인해 인증된 관리자가 서버의 임의 파일을 읽거나(다음Restore를 통해) SQL 덤프 콘텐츠를 임의 위치로 작성할(nextBackup을 통해) 수 있습니다. 이는 restore(), delete(), download()와 같은 관련 함수들이 sanitizeFileName()을 먼저 올바르게 호출하는 것과 일관되지 않습니다. 이 문제는 커밋 aa29cb0을 통해 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.