Vvvebの脆弱性3件、RCEの恐れ。修正版は1.0.9.0
Summary
PHP製CMSのVvvebに、管理者権限でサーバー上のコマンドを実行できる脆弱性など3件が公表され、サイトを運用する組織が対象です。1.0.9.0へ更新し、更新前に不審な.pharファイルが置かれていないかも調べてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
PHP製CMSのVvvebに、管理者権限でサーバー上のコマンドを実行できる脆弱性など3件が公表され、サイトを運用する組織が対象です。1.0.9.0へ更新し、更新前に不審な.pharファイルが置かれていないかも調べてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| givanzVvveb |
< 1.0.9.0→ 1.0.9.0 |
1.0.9.0 |
Original description The description as published by the source.
Vvveb before 1.0.9.0 contains a denylist bypass in system/traits/media.php where '.phar' is misconfigured with a leading dot, allowing authenticated administrators to upload .phar PHP files. Attackers can upload a GIF magic-byte polyglot webshell bypassing binary inspection and execute arbitrary OS commands as the web-server user.
Source: CVE.org (CVE Program・cvelistV5) NVD