🇰🇷 한글 설명
Vvveb CMS 1.0.8.4 미만 버전에서 발생하는 취약점으로, 권한이 낮은 판매자가 다른 판매자의 제품 정보에 접근할 수 있습니다. 공격자는 조작된 product_id를 사용하여 타인의 제품 상세 정보를 읽거나, 복제 및 삭제함으로써 상업 정보를 노출시키고 데이터 손실을 유발할 수 있습니다.
💡 쉬운 설명
쇼핑몰 관리 시스템에서 낮은 권한을 가진 사용자가 다른 사람의 상품 정보를 몰래 보거나 마음대로 지울 수 있는 보안 결함입니다. 이로 인해 중요한 판매 정보가 유출되거나 상품 목록이 망가질 위험이 있습니다.
🇺🇸 원문 (English)
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to 1.0.8.4, Vvveb backend product operations allow a low-privileged Vendor to access products owned by another Vendor. The admin/controller/product/products.php controller accepts a caller-controlled product_id for duplicate and delete actions, and admin/sql/sqlite/product.sql loads and mutates products without consistently applying the current admin_id when view_other_products or edit_other_products is absent. An attacker can read product details, duplicate products, or delete products and related catalog data, exposing commercial information and causing unauthorized copies, catalog pollution, data loss, or business disruption. This issue is fixed in version 1.0.8.4.
📍 영향받는 시스템
Vvveb CMS version < 1.0.8.4
⚔️ 공격 벡터
조작된 product_id를 포함한 HTTP 요청을 통해 컨트롤러의 권한 검증 미비점을 악용
🛡️ 대응 방법
Vvveb CMS를 최신 보안 패치가 적용된 버전인 1.0.8.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.0.8.4 미만인 경우 해당 취약점에 노출된 상태입니다.
grep -r "version" /path/to/vvveb/config/file 2>/dev/null || echo 'Check CMS version via admin dashboard'