CVE-2026-6257
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Vvveb CMS w wersjach przed 1.0.8.2 zawiera podatność na zdalne wykonanie kodu w funkcji zarządzania mediami, gdzie brak instrukcji return w obsłudze zmiany nazwy pliku pozwala uwierzytelnionym atakującym zmieniać nazwy plików na zablokowane rozszerzenia .php lub .htaccess. Atakujący może najpierw przesłać plik tekstowy i zmienić jego nazwę na .htaccess, aby wstrzyknąć dyrektywy Apache rejestrujące wykonywalne typy MIME PHP, a następnie przesłać kolejny plik i zmienić jego nazwę na .php, aby wykonać dowolne polecenia systemu operacyjnego jako użytkownik www-data.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia systemu operacyjnego, co prowadzi do przejęcia serwera WWW.
Rekomendacja
Zaktualizuj Vvveb CMS do wersji 1.0.8.2 lub nowszej i ogranicz uprawnienia kont administracyjnych.
Inne podatności w Vvveb CMS
Zobacz wszystkie- CVE-2026-46408Wysokie
Vvveb to potężny i łatwy w użyciu system zarządzania treścią (CMS), który przed wersją 1.0.8.3 miał lukę w punkcie końcowym realizacji zamówienia. Umożliwiała ona atakującym, którzy byli zalogowani, ponowne wykorzystanie danych koszyka innego użytkownika w swojej sesji zakupowej.
- CVE-2026-46407Wysokie
Vvveb to potężny i łatwy w użyciu system zarządzania treścią (CMS), który przed wersją 1.0.8.3 umożliwiał uwierzytelnionemu administratorowi załadowanie listy tokenów API innego administratora, podając jego admin_id. To może prowadzić do ujawnienia wrażliwych tokenów API innych administratorów.
- CVE-2026-45800Wysokie
W Vvveb CMS przed wersją 1.0.8.3 występuje problem z wstrzykiwaniem SQL w stronie historii zamówień użytkownika. Użytkownik z autoryzacją może wykorzystać parametry URL do manipulacji zapytaniami SQL.
- CVE-2026-45622Średnie
W Vvveb CMS przed wersją 1.0.8.3 występuje nieuwierzytelniona podatność reflected XSS w publicznym formularzu zwrotu produktu. Parametr POST customer_order_id jest wstawiany do komunikatu błędu "Order %s not found!" bez kodowania HTML, co pozwala na wykonanie złośliwego JavaScriptu w przeglądarce użytkownika.
- CVE-2026-44826Wysokie
Vvveb CMS przed wersją 1.0.8.2 nie weryfikował znaku parametru ilości na końcowym punkcie dodawania do koszyka. Wysyłanie ujemnej liczby całkowitej było akceptowane przez serwer, co prowadziło do negatywnych wartości w obliczeniach zamówienia.
- CVE-2026-44366Średnie
W Vvveb CMS przed wersją 1.0.8.1 występuje podatność stored XSS w procesie przesyłania komentarzy. Pole author jest przesyłane przez nieuwierzytelnionego użytkownika na dowolnej publicznej stronie posta, przechowywane bez sanityzacji i później renderowane bez escapowania w dwóch różnych miejscach.
- CVE-2026-6249Wysokie
Vvveb CMS w wersji 1.0.8.2 zawiera podatność na zdalne wykonanie kodu w swoim mechanizmie przesyłania mediów, która pozwala uwierzytelnionym atakującym na wykonanie dowolnych poleceń systemowych poprzez przesłanie złośliwego pliku PHP z rozszerzeniem .phtml.
Oryginalny opis (angielski, źródło NVD)
Vvveb CMS before 1.0.8.2 contains a remote code execution vulnerability in its media management functionality where a missing return statement in the file rename handler allows authenticated attackers to rename files to blocked extensions .php or .htaccess. Attackers can exploit this logic flaw by first uploading a text file and renaming it to .htaccess to inject Apache directives that register PHP-executable MIME types, then uploading another file and renaming it to .php to execute arbitrary operating system commands as the www-data user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS