PT-2026-33779 · Vvveb · Vvveb

Vulncheck · Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-39918

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Vvveb versões anteriores a 1.0.8.1

Description Um problema existe no endpoint de instalação onde o parâmetro POST subdir é gravado no arquivo de configuração env.php sem a devida limpeza ou validação. Isso permite que invasores não autenticados quebrem o contexto da string na instrução define e injetem código PHP arbitrário, levando à execução remota de código como o usuário do servidor web.

Recommendations Atualize para a versão 1.0.8.1 ou posterior.

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-39918

Produtos afetados

Vvveb

Referências · 9

• https://github.com/givanz/Vvveb/commit/5162c1639130bd080ab63c7d856788cd59d6b3b7 · Correção
• https://github.com/givanz/Vvveb/releases/tag/1.0.8.1 · Nota
• https://twitter.com/VulmonFeeds/status/2046287641327386727 · Publicação no Twitter
• https://vulncheck.com/advisories/vvveb-code-injection-via-installation-endpoint · Nota
• https://twitter.com/PurpleOps_io/status/2046446713213251976 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-39918 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2046245020563288503 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2046265158771597596 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2046601507680752095 · Publicação no Twitter