CVE-2026-41936

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.2

Descrição Um problema de injeção de entidade externa XML (XXE) existe no recurso admin Tools/Import. Usuários site admin autenticados podem explorar a configuração do analisador XML no endpoint 'system/import/xml.php' para injetar referências de entidade file:// ou php://filter. Essas referências são resolvidas e persistidas no banco de dados da aplicação, permitindo a divulgação de arquivos arbitrários e a sobrescrita de hashes de senha de administradores para escalonamento de privilégios.

Recomendações Atualize para a versão 1.0.8.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'system/import/xml.php'.