CVE-2026-49226

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.4

Description Operações de postagem no backend permitem que um Autor com baixos privilégios acesse postagens de outro Autor. O endpoint 'admin/controller/content/posts.php' permite que o parâmetro filter[admin id] substitua a restrição de admin selecionada pelo servidor e aceita um post id controlado pelo chamador para ações de duplicar e excluir. Além disso, 'admin/sql/sqlite/post.sql' não aplica consistentemente o post.admin id. Isso permite que um invasor visualize metadados de postagens, descubra identificadores de postagens, duplique postagens ou exclua postagens e conteúdos relacionados, expondo rascunhos privados e causando poluição de conteúdo, perda de dados ou interrupção do negócio.

Recommendations Atualizar para a versão 1.0.8.4.