PT-2026-33773 · Vvveb · Vvveb

Hamed Kohi + 1 · Publicado 2026-04-20 · Atualizado 2026-04-20 · CVE-2026-34428

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Vvveb versões anteriores a 1.0.8.1

Description Um problema existe na ação 'oEmbedProxy' do módulo 'editor/editor' onde o parâmetro url é passado diretamente para a função getUrl() via curl sem validação de esquema ou destino. Usuários autenticados no backend podem fornecer URLs 'file://' para ler arquivos arbitrários acessíveis pelo processo do servidor web ou URLs 'http://' direcionadas a endereços de rede interna para sondar serviços internos, com os corpos das respostas retornados ao chamador. Server-Side Request Forgery (SSRF) é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualizar para a versão 1.0.8.1 ou posterior. Como medida paliativa temporária, restrinja o acesso à ação 'oEmbedProxy' no módulo 'editor/editor'.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-34428

Produtos afetados

Vvveb

Referências · 5

• https://github.com/givanz/Vvveb/releases/tag/1.0.8.1 · Nota
• https://github.com/givanz/Vvveb/commit/2d356844f37819bf771e7cd5e12a8686975e0b2b · Correção
• https://twitter.com/VulmonFeeds/status/2046292761096188186 · Publicação no Twitter
• https://vulncheck.com/advisories/vvveb-ssrf-via-oembedproxy · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-34428 · Nota de Segurança