CVE-2026-54612

Vvveb; web siteleri, bloglar veya e-ticaret mağazaları oluşturmak için sayfa oluşturucuya sahip güçlü ve kullanımı kolay bir CMS'dir. 1.0.0 ile 1.0.8.5 sürümleri arasında, admin/controller/editor/global-trait.php içerisindeki saveGlobalElements(), loadHTMLFile() ve file_put_contents() işlemleri gerçekleşmeden önce, data-v-save-global'in saldırgan tarafından kontrol edilen dosya bölümünü aktif tema dizinine eklemektedir. Varsayılan Editor rolüne ve editor/* iznine sahip kimliği doğrulanmış bir kullanıcı, module=editor/editor&action=save adresine özel olarak hazırlanmış HTML göndererek tema dizini dışındaki mevcut yazılabilir bir PHP dosyasına erişebilir. Hedef web üzerinden erişilebilir durumdaysa, editör tarafından kontrol edilen PHP içeriği web sunucusu bağlamında çalıştırılır; yalnızca test amaçlı bir dosya gereksinimi yerine, beraberinde gelen public/vadmin/index.php giriş noktası bir yürütme sıçraması (execution trampoline) olarak kullanılabilir. Bu durum, kalıcı webshell yerleştirilmesine izin verebilir ve uygulamanın gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atabilir. Bu sorun 1.0.8.5 sürümünde düzeltilmiştir.