CVE-2026-49228 in Vvveb
Tóm tắt
Bởi VulDB • 18/08/2026
Vvveb là một hệ thống quản trị nội dung (CMS) mạnh mẽ và dễ sử dụng với công cụ xây dựng trang web để tạo ra các website, blog hoặc cửa hàng thương mại điện tử. Trước phiên bản 1.0.8.4, các thao tác sản phẩm trong backend của Vvveb cho phép một Vendor có đặc quyền thấp truy cập vào các sản phẩm thuộc sở hữu của một Vendor khác. Bộ điều khiển (controller) admin/controller/product/products.php chấp nhận product_id do người gọi kiểm soát đối với các hành động sao chép và xóa, còn tập lệnh admin/sql/sqlite/product.sql tải và thay đổi dữ liệu sản phẩm mà không áp dụng nhất quán current_admin_id khi view_other_products hoặc edit_other_products bị thiếu. Một kẻ tấn công có thể đọc chi tiết sản phẩm, sao chép sản phẩm hoặc xóa sản phẩm cùng với dữ liệu danh mục liên quan, làm lộ thông tin thương mại và gây ra các bản sao trái phép, ô nhiễm danh mục, mất mát dữ liệu hoặc gián đoạn kinh doanh. Vấn đề này đã được sửa chữa trong phiên bản 1.0.8.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.