CVE-2026-49227 in Vvveb
Tóm tắt
Bởi VulDB • 18/08/2026
Vvveb là một hệ thống quản trị nội dung (CMS) mạnh mẽ và dễ sử dụng với công cụ xây dựng trang web để tạo ra các website, blog hoặc cửa hàng thương mại điện tử. Trước phiên bản 1.0.8.4, các thao tác bình luận trong backend của Vvveb cho phép một Author có đặc quyền thấp quản lý các bình luận dưới bài viết của một Author khác. Các bộ điều khiển (controller) admin/controller/content/comment.php và admin/controller/content/comments.php cùng với các truy vấn SQL admin/sql/sqlite/comment.sql chấp nhận comment_id do người gọi kiểm soát mà không xác minh comment.post_id so với post.admin_id cho current admin_id hiện tại. Một kẻ tấn công có thể đọc nội dung bình luận đang chờ duyệt, địa chỉ email của người bình luận, thay đổi trạng thái kiểm duyệt, chỉnh sửa nội dung bình luận hoặc xóa bình luận, làm phá vỡ các ranh giới giữa tác giả và quy trình kiểm duyệt. Vấn đề này đã được khắc phục trong phiên bản 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.