CVE-2026-41937
Vulnérabilité élevée dans Vvveb (givanz)
CVSS 8.6 · Élevée
EPSS 0.6%
givanz•Vvveb•Versions : <1.0.8.3, 0, 04f0294350ec429e307cd31c2e777a4797c868d6
Description
Vvveb before 1.0.8.3 contains an unrestricted file upload vulnerability in the plugin upload endpoint that allows super_admin users to execute arbitrary PHP code by uploading a malicious plugin ZIP file. Attackers can craft a ZIP containing a plugin.php with a valid Slug header and a public/index.php file with arbitrary PHP code, which executes as the web server user once accessed via subsequent unauthenticated HTTP requests to the plugin's public path.
Gravité et risque d'exploitation
CVE-2026-41937 obtient un score CVSS de 8.6/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.63 %, ce qui la place devant 49.1 % des CVE référencées.
Que faire ?
- Vérifiez si Vvveb (versions <1.0.8.3, 0, 04f0294350ec429e307cd31c2e777a4797c868d6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.