CVE-2026-49222 in Vvveb
Сводка
по VulDB • 18.08.2026
Vvveb — это мощный и простой в использовании CMS с конструктором страниц для создания веб-сайтов, блогов или интернет-магазинов. До версии 1.0.8.4 операции управления вопросами на бэкенде Vvveb позволяли пользователю с низкими привилегиями (Vendor) управлять вопросами в рамках продуктов другого Vendor'а. Запросы `admin/sql/sqlite/product_question.sql` принимают управляемый вызывающей стороной параметр `product_question_id` и не проверяют соответствие поля `product_question.product_id` полю `product.admin_id` для текущего идентификатора администратора (`admin_id`). Злоумышленник может просматривать содержимость ожидающих вопросов и данные модерации, изменять статус вопроса, редактировать его содержание или удалять вопросы, тем самым манипулируя видимостью и целостностью системы «вопрос-ответ» (Q&A) для продуктов. Эта проблема исправлена в версии 1.0.8.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.