Descripción
Vvveb es un CMS potente y fácil de usar con un generador de páginas para crear sitios web, blogs o tiendas de comercio electrónico. En versiones anteriores a 1.0.8.7, una referencia directa insegura a objetos (IDOR) autenticada en el endpoint admin/auth-token permite a cualquier administrador leer y sobrescribir los tokens de API de otro administrador. Este problema fue corregido en la versión 1.0.8.7.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Vvveb Afectadas: < 1.0.8.7
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/givanz/Vvveb/security/advisories/GHSA-hg48-r64v-9rvq
Ver el texto original en inglés (CVE.org)
Vvveb: Authenticated IDOR on admin/auth-token Allows Admin Privilege Escalation via API Token Theft
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to version 1.0.8.7, authenticated IDOR on admin/auth-token endpoint allows any administrator to read and overwrite another administrator's API tokens. This issue has been patched in version 1.0.8.7.