CVE-2026-34428
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Vvveb przed wersją 1.0.8.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w akcji oEmbedProxy modułu editor/editor. Parametr url jest przekazywany bezpośrednio do getUrl() przez curl bez walidacji schematu lub celu. Uwierzytelnieni użytkownicy backendu mogą używać URL-i file:// do odczytu dowolnych plików dostępnych dla procesu serwera WWW lub URL-i http:// skierowane na wewnętrzne adresy sieciowe do skanowania wewnętrznych usług, a treść odpowiedzi jest zwracana bezpośrednio do wywołującego.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera (np. konfiguracyjne, hasła) lub przeprowadzić skanowanie wewnętrznej sieci, co może prowadzić do eskalacji uprawnień i dalszego naruszenia bezpieczeństwa infrastruktury.
Rekomendacja
Należy natychmiast zaktualizować Vvveb do wersji 1.0.8.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do backendu tylko dla zaufanych użytkowników i zablokować możliwość używania URL-i file:// oraz wewnętrznych adresów IP w parametrze url.
Inne podatności w Vvveb
Zobacz wszystkie- CVE-2026-41938Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na nieograniczone przesyłanie plików w obsłudze przesyłania mediów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania mediów na obejście ograniczeń dotyczących rozszerzeń poprzez przesłanie pliku .htaccess. Umożliwia to atakującym przesyłanie plików .phtml zawierających dowolny kod PHP i wykonanie ładunku poprzez nieautoryzowane żądanie HTTP GET.
- CVE-2026-41936Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na wstrzykiwanie zewnętrznych jednostek XML (XXE) w funkcji importu narzędzi administracyjnych, co pozwala uwierzytelnionym użytkownikom site_admin na odczyt dowolnych plików oraz modyfikację rekordów w bazie danych.
- CVE-2026-41934Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na zdalne wykonanie kodu z uwierzytelnieniem w edytorze kodu administratora, która pozwala użytkownikom o niskich uprawnieniach na wykonanie dowolnego kodu poprzez niewystarczające ograniczenia dotyczące rozszerzeń plików.
- CVE-2026-41930Krytyczne
Vvveb przed wersją 1.0.8.2 zawiera podatność na twardo zakodowane dane uwierzytelniające w konfiguracji docker-compose-apache.yaml, co pozwala nieautoryzowanym atakującym uzyskać dostęp do kontenera phpMyAdmin z prekonfigurowanymi danymi bazy danych.
- CVE-2026-39918Krytyczne
Vvveb przed wersją 1.0.8.1 zawiera podatność na wstrzykiwanie kodu w punkcie końcowym instalacji, gdzie parametr POST subdir jest zapisywany bez oczyszczania do pliku konfiguracyjnego env.php. Atakujący mogą wstrzyknąć dowolny kod PHP, wychodząc z kontekstu ciągu znaków w instrukcji define, co umożliwia nieuwierzytelnione zdalne wykonanie kodu jako użytkownik serwera WWW.
- CVE-2026-49228Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do produktów należących do innego sprzedawcy. Kontroler produktów nie sprawdza właściciela produktu przy operacjach duplikowania i usuwania, co pozwala na odczyt, kopiowanie i usuwanie produktów oraz powiązanych danych.
- CVE-2026-49225Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do rewizji produktów należących do innego sprzedawcy. Zapytania SQL nie sprawdzają właściciela produktu przy odczycie, przywracaniu i usuwaniu rewizji.
- CVE-2026-49224Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia autorowi o niskich uprawnieniach dostęp do rewizji postów należących do innego autora. Zapytania SQL nie sprawdzają właściciela posta przy listowaniu, odczycie, przywracaniu i usuwaniu rewizji.
- CVE-2026-49223Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie recenzjami produktów należących do innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla recenzji.
- CVE-2026-49222Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie pytaniami pod produktami innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla pytań.
Oryginalny opis (angielski, źródło NVD)
Vvveb prior to 1.0.8.1 contains a server-side request forgery vulnerability in the oEmbedProxy action of the editor/editor module where the url parameter is passed directly to getUrl() via curl without scheme or destination validation. Authenticated backend users can supply file:// URLs to read arbitrary files readable by the web server process or http:// URLs targeting internal network addresses to probe internal services, with response bodies returned directly to the caller.