← Retour
CVE-2026-44826
high
CVSS 7.5
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to 1.0.8.2, Vvveb CMS does not validate the sign of the quantity parameter on the cart-add...
Résumé
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to 1.0.8.2, Vvveb CMS does not validate the sign of the quantity parameter on the cart-add endpoint. Submitting a negative integer is accepted by the server and treated as a normal positive...
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-44826** a été découverte dans cms.
Des attaquants peuvent cibler un point d'entrée spécifique comme `POST /index.php` à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.5/10.
Action : mettez à jour cms vers **1.0.8.2** ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « cms CVE-2026-44826 » sur le site de l'éditeur.
CVE-2026-44826 (cms) — CWE-1284 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /index.php / `quantity` / `total` / `order.total`
Versions affectées : `<= 1.0.8`
Correctif : `1.0.8.2` — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
Vvveb CMSのバージョン1.0.8.2より前では、cart-addエンドポイントのquantityパラメータの符号を検証していません。
📍 Périmètre concerné
Vvveb CMS version < 1.0.8.2 のcart-addエンドポイント。
🔥 Gravité
攻撃者が不正注文を作成し、販売者が顧客に金銭を返還するよう誘導される可能性があります。
🔧 Comment corriger
バージョン1.0.8.2へのアップデートを実行します。
🛡️ Contournement
変更できない場合は、quantityパラメータの符号をサーバー側で手動で検証する。
🔍 Détection
注文の合計金額がマイナスになっているかを確認する。