PT-2026-38586 · Vvveb · Vvveb

Basant Kumar + 2 · Publicado 2026-05-07 · Atualizado 2026-05-10 · CVE-2026-41929

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Vvveb versões anteriores a 1.0.8.2

Description Um problema de cross-site scripting refletido não autenticado existe no renderizador de visualização do editor visual. Atacantes podem executar JavaScript arbitrário manipulando o parâmetro de consulta r e o parâmetro POST component ajax. Isso ocorre porque a função isEditor() não realiza a verificação de sessão, função ou token, e o manipulador de visualização injeta conteúdo bruto do corpo POST HTML sem sanitização. Atacantes podem usar um link malicioso ou um formulário enviado automaticamente para executar JavaScript controlado no contexto da origem do Vvveb.

Recommendations Atualize para a versão 1.0.8.2 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-41929

Produtos afetados

Vvveb

Referências · 8

• 🔥 https://github.com/givanz/Vvveb/security/advisories/GHSA-wwmv-4g9g-p48g · Exploit
• https://github.com/givanz/Vvveb/releases/tag/1.0.8.2 · Nota
• https://github.com/givanz/Vvveb/commit/54a9e846fb94192f1b31ae81d81d25c874662e6a · Correção
• https://twitter.com/CVEnew/status/2053559192544256371 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41929 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2052607035196191055 · Publicação no Twitter
• https://vulncheck.com/advisories/vvveb-unauthenticated-reflected-xss-via-visual-editor · Nota
• https://t.me/CVEtracker/53038 · Publicação no Telegram