CVE-2026-39918
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Vvveb przed wersją 1.0.8.1 zawiera podatność na wstrzykiwanie kodu w punkcie końcowym instalacji, gdzie parametr POST subdir jest zapisywany bez oczyszczania do pliku konfiguracyjnego env.php. Atakujący mogą wstrzyknąć dowolny kod PHP, wychodząc z kontekstu ciągu znaków w instrukcji define, co umożliwia nieuwierzytelnione zdalne wykonanie kodu jako użytkownik serwera WWW.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera WWW przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszego ataku na infrastrukturę.
Rekomendacja
Niezwłocznie zaktualizuj Vvveb do wersji 1.0.8.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz punkt końcowy instalacji lub zastosuj reguły WAF blokujące podejrzane parametry POST.
Oryginalny opis (angielski, źródło NVD)
Vvveb prior to 1.0.8.1 contains a code injection vulnerability in the installation endpoint where the subdir POST parameter is written unsanitized into the env.php configuration file without escaping or validation. Attackers can inject arbitrary PHP code by breaking out of the string context in the define statement to achieve unauthenticated remote code execution as the web server user.