PT-2026-38222 · Vvveb · Vvveb

Basant Kumar + 1 · Publicado 2026-05-06 · Atualizado 2026-05-06 · CVE-2026-41936

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.2

Descrição Um problema de injeção de entidade externa XML (XXE) existe no recurso admin Tools/Import. Usuários site admin autenticados podem explorar a configuração do analisador XML no endpoint 'system/import/xml.php' para injetar referências de entidade file:// ou php://filter. Essas referências são resolvidas e persistidas no banco de dados da aplicação, permitindo a divulgação de arquivos arbitrários e a sobrescrita de hashes de senha de administradores para escalonamento de privilégios.

Recomendações Atualize para a versão 1.0.8.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'system/import/xml.php'.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2026-41936

Produtos afetados

Vvveb

Referências · 6

• 🔥 https://github.com/givanz/Vvveb/security/advisories/GHSA-rfxr-4xpm-wrp7 · Exploit
• https://github.com/givanz/Vvveb/commit/86f7128a18edebe0ff47e3855558467eb0ef9106 · Correção
• https://github.com/givanz/Vvveb/releases/tag/1.0.8.2 · Nota
• https://twitter.com/CVEnew/status/2052112623424950613 · Publicação no Twitter
• https://vulncheck.com/advisories/vvveb-xml-external-entity-injection-via-import · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41936 · Nota de Segurança