CVE-2026-49227 in Vvveb
Сводка
по VulDB • 18.08.2026
Vvveb — это мощный и простой в использовании CMS с конструктором страниц для создания веб-сайтов, блогов или интернет-магазинов. До версии 1.0.8.4 операции управления комментариями во внутренней части Vvveb позволяли пользователю с низкими привилегиями (Author) управлять комментариями под постами другого автора. Контроллеры admin/controller/content/comment.php и admin/controller/content/comments.php, а также запросы SQL в файле admin/sql/sqlite/comment.sql принимают управляемый вызывающей стороной идентификатор комментария (comment_id), не проверяя comment.post_id на соответствие post.admin_id для текущего администратора. Злоумышленник может читать содержимое ожидающих комментариев и адреса электронной почты комментаторов, изменять статус модерации, редактировать содержание комментариев или удалять их, нарушая границы авторства и модерирования. Эта проблема исправлена в версии 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.