PT-2026-38221 · Vvveb · Vvveb

Basant Kumar + 2 · Publicado 2026-05-06 · Atualizado 2026-05-06 · CVE-2026-41934

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.2

Descrição O editor de código do administrador permite que usuários autenticados com baixos privilégios, como as funções de editor, autor, contribuidor ou site admin, executem código arbitrário. Isso é possível devido a restrições insuficientes de extensão de arquivo, permitindo que invasores escrevam um arquivo .htaccess malicioso para mapear extensões arbitrárias para o manipulador PHP. Subsequentemente, código PHP pode ser carregado usando essas extensões para alcançar a execução remota de código quando o arquivo é acessado via HTTP.

Recomendações Atualize para a versão 1.0.8.2 ou posterior.

Correção

RCE

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-41934

Produtos afetados

Vvveb

Referências · 6

• https://github.com/givanz/Vvveb/releases/tag/1.0.8.2 · Nota
• https://github.com/givanz/Vvveb/security/advisories/GHSA-vfjj-gcvv-w248 · Aviso do Fabricante
• https://github.com/givanz/Vvveb/commit/1196561276a3f49da5a714fef89ac9a6c6f9e33b · Correção
• https://twitter.com/CVEnew/status/2052112622510559268 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41934 · Nota de Segurança
• https://vulncheck.com/advisories/vvveb-authenticated-rce-via-code-editor · Nota