CVE-2026-49222 in Vvveb
Tóm tắt
Bởi VulDB • 18/08/2026
Vvveb là một hệ thống quản trị nội dung (CMS) mạnh mẽ và dễ sử dụng với công cụ xây dựng trang để tạo website, blog hoặc cửa hàng thương mại điện tử. Trước phiên bản 1.0.8.4, các thao tác quản lý câu hỏi của sản phẩm trong backend Vvveb cho phép một Vendor có đặc quyền thấp (low-privileged) quản lý các câu hỏi dưới các sản phẩm của Vendor khác. Các truy vấn `admin/sql/sqlite/product_question.sql` chấp nhận tham số `product_question_id` do người gọi kiểm soát và không xác minh `product_question.product_id` so với `product.admin_id` cho `admin_id` hiện tại. Kẻ tấn công có thể đọc nội dung câu hỏi chưa được phê duyệt và dữ liệu điều hành, thay đổi trạng thái câu hỏi, chỉnh sửa nội dung câu hỏi hoặc xóa các câu hỏi, qua đó thao túng tính hiển thị và toàn vẹn của phần Hỏi & Đáp (Q&A) sản phẩm. Vấn đề này đã được khắc phục trong phiên bản 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.