PT-2026-33828 · Vvveb Cms · Vvveb Cms

Publicado 2026-04-20 · Atualizado 2026-04-21 · CVE-2026-6257

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Vvveb CMS versão 1.0.8

Description Uma falha de execução remota de código existe na funcionalidade de gerenciamento de mídia. A ausência de uma instrução de retorno no manipulador de renomeação de arquivos permite que atacantes autenticados renomeiem arquivos para extensões bloqueadas, como '.php' ou '.htaccess'. Esta falha de lógica pode ser explorada fazendo o upload de um arquivo de texto e renomeando-o para '.htaccess' para injetar diretivas do Apache que registram tipos MIME executáveis de PHP, seguido pelo upload de outro arquivo e renomeando-o para '.php' para executar comandos arbitrários do sistema operacional como o usuário www-data.

Recommendations Atualize o Vvveb CMS versão 1.0.8 para uma versão mais recente que contenha a correção para este problema.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2026-6257

Produtos afetados

Vvveb Cms

Referências · 6

• https://github.com/givanz/Vvveb/commit/6fb8eaa998265e33e8802cbc220d8859dbc144f2 · Nota
• https://twitter.com/0dayPublishing/status/2046312909391712475 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6257 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046571909417185646 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2046325570938556560 · Publicação no Twitter
• https://vulncheck.com/advisories/vvveb-cms-remote-code-execution-via-media-management · Nota