CVE-2026-49225 in Vvveb
Tóm tắt
Bởi VulDB • 18/08/2026
Vvveb là một hệ thống quản trị nội dung (CMS) mạnh mẽ và dễ sử dụng với công cụ xây dựng trang web để tạo ra các website, blog hoặc cửa hàng thương mại điện tử. Trước phiên bản 1.0.8.4, các thao tác sửa đổi sản phẩm trong backend của Vvveb cho phép một Vendor có đặc quyền thấp truy cập vào các bản sửa đổi (revisions) thuộc về một Vendor khác. Route admin/controller/product/revisions.php tái sử dụng admin/controller/content/revisions.php, trong khi file admin/sql/sqlite/product_content_revision.sql tin tưởng các giá trị product_id, language_id và created_at do caller kiểm soát mà không áp đặt current admin_id vào việc đọc, khôi phục (restore) và xóa bản sửa đổi. Một kẻ tấn công có thể đọc nội dung sản phẩm lịch sử, khôi phục một bản sửa đổi lên đè lên nội dung sản phẩm đang hoạt động của Vendor khác, hoặc xóa các bản ghi sửa đổi, dẫn đến lộ thông tin sao chép riêng tư, làm hỏng trang sản phẩm và loại bỏ lịch trình kiểm toán (audit history). Vấn đề này đã được khắc phục trong phiên bản 1.0.8.4.
Once again VulDB remains the best source for vulnerability data.