CVE-2026-39918: Vvveb: injeção de código no endpoint de instalação
Versões do Vvveb anteriores à 1.0.8.1 contêm uma falha de injeção de código no endpoint de instalação, em que o parâmetro POST subdir é gravado no arquivo de configuração env.php sem escape ou validação. O registro descreve a possibilidade de execução remota de código sem autenticação com os privilégios do usuário do servidor web, e a severidade é crítica com CVSS 3.1 9.8. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma fraqueza de injeção de código (CWE-94) no endpoint de instalação do Vvveb. O parâmetro POST subdir é gravado no env.php sem escape ou validação, o que, segundo o registro, pode permitir que um atacante saia de uma string em uma instrução define e injete código PHP.
Impacto
- O registro afirma que a falha pode levar à execução remota de código sem autenticação com os privilégios do usuário do servidor web.
- O registro associado ao NVD indica pontuação CVSS 3.1 base 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e pontuação CVSS 4.0 de 9.2 do mesmo CNA.
- Como o vetor indica que não são necessários privilégios nem interação do usuário, instalações expostas são a principal preocupação.
Produtos e versões afetados
- O registro afirma que versões do Vvveb anteriores à 1.0.8.1 são afetadas.
- As listas estruturadas de afetados e correções estão vazias no registro, portanto a faixa exata e as versões corrigidas devem ser confirmadas nas referências do fornecedor.
- A tag de release 1.0.8.1 é referenciada, o que sugere que se trata da versão corrigida (inferência).
Status de exploração
- O registro não inclui esta CVE no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- O EPSS indica probabilidade de 0,01137 com percentil de 0,65709 no registro.
Correção e mitigação
- Atualize o Vvveb para a versão 1.0.8.1 ou posterior, conforme indicado pelo registro e pela release referenciada.
- Se a atualização não puder ser feita imediatamente, restrinja o acesso ao endpoint de instalação a administradores confiáveis e remova ou desative o instalador em sistemas de produção após a configuração.
- Revise a exposição de caminhos de instalação no servidor web e limite-os com controles de rede.
Orientações de detecção
- Analise os logs do servidor web em busca de requisições inesperadas a endpoints de instalação, especialmente de origens desconhecidas ou em horários incomuns.
- Verifique o env.php e arquivos de configuração semelhantes quanto a conteúdo inesperado ou alterado, comparando com cópias conhecidamente íntegras.
- Monitore a criação de arquivos e processos inesperados iniciados pelo usuário do servidor web.
Limitações das informações disponíveis
- O registro não inclui campos estruturados de faixas de versões afetadas ou versões corrigidas.
- A disponibilidade pública de prova de conceito não é informada no registro e é desconhecida.
- Detalhes técnicos além da descrição não são fornecidos no registro, por isso esta análise não acrescenta especificidades de exploração.
Perguntas frequentes
Quais versões do Vvveb são afetadas pela CVE-2026-39918?
O registro afirma que versões do Vvveb anteriores à 1.0.8.1 são afetadas. Os campos estruturados de versões afetadas estão vazios, então confirme a faixa nas referências do fornecedor.
Há exploração conhecida na natureza para esta vulnerabilidade?
O registro não a inclui no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.