PT-2026-38222 · Vvveb · Vvveb

Basant Kumar + 1 · CVE-2026-41936 · Publicado 2026-05-06 · Atualizado 2026-05-06

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.2

Descrição Um problema de injeção de entidade externa XML (XXE) existe no recurso admin Tools/Import. Usuários site admin autenticados podem explorar a configuração do analisador XML no endpoint 'system/import/xml.php' para injetar referências de entidade file:// ou php://filter. Essas referências são resolvidas e persistidas no banco de dados da aplicação, permitindo a divulgação de arquivos arbitrários e a sobrescrita de hashes de senha de administradores para escalonamento de privilégios.

Recomendações Atualize para a versão 1.0.8.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'system/import/xml.php'.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2026-41936

GHSA-RFXR-4XPM-WRP7

Produtos afetados

Vvveb

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41936.json · Exploit
• 🔥 https://github.com/givanz/Vvveb/security/advisories/GHSA-rfxr-4xpm-wrp7 · Exploit
• https://github.com/givanz/Vvveb/releases/tag/1.0.8.2 · Nota
• https://github.com/givanz/Vvveb/commit/86f7128a18edebe0ff47e3855558467eb0ef9106 · Correção
• https://osv.dev/vulnerability/CVE-2026-41936 · Aviso do Fabricante
• https://vulncheck.com/advisories/vvveb-xml-external-entity-injection-via-import · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41936 · Nota de Segurança
• https://twitter.com/CVEnew/status/2052112623424950613 · Publicação no Twitter