CVE-2026-41928
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Vvveb przed wersją 1.0.8.2 zawiera podatność ujawnienia informacji w kontrolerze cron, która pozwala nieuwierzytelnionym atakującym na pobranie tajnego klucza cron aplikacji. Atakujący mogą uzyskać dostęp do kontrolera cron bez uwierzytelnienia i odczytać ujawniony tajny klucz z odpowiedzi, co umożliwia im wyzwalanie zaplanowanych zadań poza zamierzonym harmonogramem.
Ocena ryzyka
Ryzyko polega na tym, że nieuwierzytelniony atakujący może przejąć kontrolę nad harmonogramem zadań cron, co może prowadzić do nieautoryzowanego wykonania zadań, potencjalnie zakłócając działanie aplikacji lub wykorzystując ją do ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Vvveb do wersji 1.0.8.2 lub nowszej, która usuwa tę podatność. Dodatkowo należy ograniczyć dostęp do kontrolera cron tylko dla zaufanych adresów IP lub zastosować dodatkowe uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
Vvveb before 1.0.8.2 contains an information disclosure vulnerability in the cron controller that allows unauthenticated attackers to retrieve the application's secret cron key. Attackers can access the cron controller without authentication and retrieve the exposed secret key from the response, enabling them to trigger scheduled task execution outside of the intended schedule.