CVE-2026-41937
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Vvveb przed wersją 1.0.8.3 zawiera podatność nieograniczonego przesyłania plików w punkcie końcowym przesyłania wtyczek, która umożliwia użytkownikom super_admin wykonanie dowolnego kodu PHP poprzez przesłanie złośliwego pliku ZIP wtyczki. Atakujący mogą przygotować archiwum ZIP zawierające plik plugin.php z prawidłowym nagłówkiem Slug oraz plik public/index.php z dowolnym kodem PHP, który wykonuje się jako użytkownik serwera WWW po uzyskaniu dostępu przez kolejne nieuwierzytelnione żądania HTTP do ścieżki publicznej wtyczki.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad serwerem WWW przez atakującego z uprawnieniami super_admin, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować Vvveb do wersji 1.0.8.3 lub nowszej, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie dostępu do punktu końcowego przesyłania wtyczek tylko dla zaufanych użytkowników oraz wdrożenie walidacji przesyłanych plików.
Inne podatności w Vvveb
Zobacz wszystkie- CVE-2026-41938Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na nieograniczone przesyłanie plików w obsłudze przesyłania mediów, która pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania mediów na obejście ograniczeń dotyczących rozszerzeń poprzez przesłanie pliku .htaccess. Umożliwia to atakującym przesyłanie plików .phtml zawierających dowolny kod PHP i wykonanie ładunku poprzez nieautoryzowane żądanie HTTP GET.
- CVE-2026-41936Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na wstrzykiwanie zewnętrznych jednostek XML (XXE) w funkcji importu narzędzi administracyjnych, co pozwala uwierzytelnionym użytkownikom site_admin na odczyt dowolnych plików oraz modyfikację rekordów w bazie danych.
- CVE-2026-41934Wysokie
Vvveb przed wersją 1.0.8.2 zawiera podatność na zdalne wykonanie kodu z uwierzytelnieniem w edytorze kodu administratora, która pozwala użytkownikom o niskich uprawnieniach na wykonanie dowolnego kodu poprzez niewystarczające ograniczenia dotyczące rozszerzeń plików.
- CVE-2026-41930Krytyczne
Vvveb przed wersją 1.0.8.2 zawiera podatność na twardo zakodowane dane uwierzytelniające w konfiguracji docker-compose-apache.yaml, co pozwala nieautoryzowanym atakującym uzyskać dostęp do kontenera phpMyAdmin z prekonfigurowanymi danymi bazy danych.
- CVE-2026-39918Krytyczne
Vvveb przed wersją 1.0.8.1 zawiera podatność na wstrzykiwanie kodu w punkcie końcowym instalacji, gdzie parametr POST subdir jest zapisywany bez oczyszczania do pliku konfiguracyjnego env.php. Atakujący mogą wstrzyknąć dowolny kod PHP, wychodząc z kontekstu ciągu znaków w instrukcji define, co umożliwia nieuwierzytelnione zdalne wykonanie kodu jako użytkownik serwera WWW.
- CVE-2026-49228Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do produktów należących do innego sprzedawcy. Kontroler produktów nie sprawdza właściciela produktu przy operacjach duplikowania i usuwania, co pozwala na odczyt, kopiowanie i usuwanie produktów oraz powiązanych danych.
- CVE-2026-49225Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach dostęp do rewizji produktów należących do innego sprzedawcy. Zapytania SQL nie sprawdzają właściciela produktu przy odczycie, przywracaniu i usuwaniu rewizji.
- CVE-2026-49224Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia autorowi o niskich uprawnieniach dostęp do rewizji postów należących do innego autora. Zapytania SQL nie sprawdzają właściciela posta przy listowaniu, odczycie, przywracaniu i usuwaniu rewizji.
- CVE-2026-49223Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie recenzjami produktów należących do innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla recenzji.
- CVE-2026-49222Wysokie
Vvveb przed wersją 1.0.8.4 umożliwia sprzedawcy o niskich uprawnieniach zarządzanie pytaniami pod produktami innego sprzedawcy. Zapytania SQL nie weryfikują właściciela produktu dla pytań.
Oryginalny opis (angielski, źródło NVD)
Vvveb before 1.0.8.3 contains an unrestricted file upload vulnerability in the plugin upload endpoint that allows super_admin users to execute arbitrary PHP code by uploading a malicious plugin ZIP file. Attackers can craft a ZIP containing a plugin.php with a valid Slug header and a public/index.php file with arbitrary PHP code, which executes as the web server user once accessed via subsequent unauthenticated HTTP requests to the plugin's public path.