Basant Kumar

Vvveb before 1.0.8.3 contains a stored cross-site scripting vulnerability in the customer signup flow where the Signup::addUser() controller copies raw POST username values into the display name field before sanitization occurs. Attackers can submit HTML and script markup in the username field during signup, which gets stripped from the username column but persisted verbatim in the display name column, allowing stored XSS execution when display name is rendered without encoding in vulnerable views.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.3 **Description** Um problema de upload de arquivo irrestrito existe no endpoint de upload de plugins. Isso permite que usuários com privilégios de super admin executem código PHP arbitrário ao fazer o upload de um arquivo ZIP de plugin malicioso. O ataque envolve a criação de um arquivo ZIP contendo um arquivo `plugin.php` com um cabeçalho Slug válido e um arquivo `public/index.php` contendo código PHP arbitrário. Esse código é executado com as permissões do usuário do servidor web quando acessado por meio de requisições HTTP não autenticadas ao caminho público do plugin. **Recommendations** Atualize para a versão 1.0.8.3 ou posterior.

Vvveb before 1.0.8.3 contains an uncontrolled recursion vulnerability in the admin controller dispatch cycle where Base::init() repeatedly invokes permission() on error handlers, causing infinite recursion until PHP memory limits are exhausted. Attackers can send sustained requests to forbidden admin URLs from a low-privilege account to exhaust PHP memory on all workers and cause denial of service to legitimate traffic.

Vvveb before 1.0.8.3 contains a directory listing information disclosure vulnerability that allows unauthenticated attackers to enumerate files and directories by accessing multiple paths lacking proper index directives in .htaccess files. Attackers can access directories such as admin asset paths, plugins, themes, and media folders to view filenames, file sizes, modification timestamps, and unrendered admin templates containing sensitive route maps.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** Um problema de divulgação de informações existe no controlador de cron que permite que atacantes não autenticados recuperem a chave secreta de cron da aplicação. Ao acessar o controlador de cron sem autenticação, um atacante pode obter a chave secreta exposta a partir da resposta, o que permite o acionamento da execução de tarefas agendadas fora do cronograma pretendido. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Description** Um problema de cross-site scripting refletido não autenticado existe no renderizador de visualização do editor visual. Atacantes podem executar JavaScript arbitrário manipulando o parâmetro de consulta `r` e o parâmetro POST ` component ajax`. Isso ocorre porque a função `isEditor()` não realiza a verificação de sessão, função ou token, e o manipulador de visualização injeta conteúdo bruto do corpo POST HTML sem sanitização. Atacantes podem usar um link malicioso ou um formulário enviado automaticamente para executar JavaScript controlado no contexto da origem do Vvveb. **Recommendations** Atualize para a versão 1.0.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** Um problema de divulgação de informações permite que atacantes não autenticados obtenham informações sensíveis do servidor ao disparar exceções não tratadas no módulo de redefinição de senha. Ao acessar o endpoint de redefinição de senha do administrador, um erro fatal é disparado devido à ausência de importação de um namespace. Isso expõe o caminho absoluto do arquivo do servidor, namespaces de classes internas, números de linha e trechos do código-fonte por meio do manipulador de exceções de depuração. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** Um problema de upload de arquivo irrestrito existe no manipulador de upload de mídia. Usuários autenticados com permissões de upload de mídia podem ignorar as restrições de extensão fazendo o upload de um arquivo `.htaccess` para mapear extensões `.phtml` para o manipulador PHP. Isso permite o upload de um arquivo `.phtml` contendo código PHP arbitrário, que pode ser executado ao enviar uma requisição HTTP GET não autenticada para o arquivo carregado, resultando em execução remota de código com privilégios do servidor web. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** Um problema de injeção de entidade externa XML (XXE) existe no recurso admin Tools/Import. Usuários `site admin` autenticados podem explorar a configuração do analisador XML no endpoint 'system/import/xml.php' para injetar referências de entidade `file://` ou `php://filter`. Essas referências são resolvidas e persistidas no banco de dados da aplicação, permitindo a divulgação de arquivos arbitrários e a sobrescrita de hashes de senha de administradores para escalonamento de privilégios. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'system/import/xml.php'.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** O editor de código do administrador permite que usuários autenticados com baixos privilégios, como as funções de editor, autor, contribuidor ou site admin, executem código arbitrário. Isso é possível devido a restrições insuficientes de extensão de arquivo, permitindo que invasores escrevam um arquivo `.htaccess` malicioso para mapear extensões arbitrárias para o manipulador PHP. Subsequentemente, código PHP pode ser carregado usando essas extensões para alcançar a execução remota de código quando o arquivo é acessado via HTTP. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.2 **Descrição** Um problema de credenciais codificadas existe na configuração `docker-compose-apache.yaml`. Isso permite que atacantes não autenticados acessem o contêiner phpMyAdmin integrado usando credenciais de banco de dados pré-configuradas. Ao se conectar à porta do phpMyAdmin, os atacantes podem obter acesso irrestrito de leitura e gravação a todo o banco de dados, incluindo hashes de senhas de administradores, informações de identificação pessoal de clientes e dados de pedidos, o que pode levar à invasão de contas e manipulação de dados. **Recomendações** Atualize para a versão 1.0.8.2 ou posterior.