CVE-2026-41930: Vvveb: credenciais fixas do phpMyAdmin expõem o banco de dados
A CVE-2026-41930 afeta versões do Vvveb anteriores à 1.0.8.2 e decorre de credenciais de banco de dados fixas no arquivo docker-compose-apache.yaml, que implanta um contêiner do phpMyAdmin incluído. Segundo o registro, um atacante não autenticado pode acessar todo o banco do Vvveb, incluindo hashes de senhas de administradores e dados de clientes e pedidos. O registro classifica a severidade como crítica (CVSS 3.1 de 9.8) e indica que a falha não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-41930 é uma falha de ausência de autenticação causada por credenciais fixas no arquivo docker-compose-apache.yaml distribuído com o Vvveb. Segundo o registro, o contêiner do phpMyAdmin incluído depende de credenciais de banco pré-configuradas embutidas nessa configuração, o que deixa a interface de banco acessível sem autenticação. A CNA é a VulnCheck e a fraqueza é mapeada para o CWE-306 (Ausência de autenticação para função crítica).
Impacto
A descrição informa acesso irrestrito de leitura e escrita a todo o banco de dados do Vvveb. As categorias de dados citadas são hashes de senhas de administradores, informações pessoais identificáveis de clientes e dados de pedidos. O acesso de escrita permitiria manipulação de dados, e a descrição associa o cenário à tomada de contas.
- Confidencialidade: alta, segundo o vetor CVSS 3.1 informado pela VulnCheck.
- Integridade: alta, pelo mesmo vetor.
- Disponibilidade: alta, pelo mesmo vetor.
Produtos e versões afetadas
O registro descreve como afetadas as versões do Vvveb anteriores à 1.0.8.2. A lista estruturada de versões afetadas está vazia, portanto o intervalo exato deve ser confirmado no aviso do fabricante. O registro também cita a tag de release 1.0.8.2 e um commit, mas não descreve o conteúdo do commit além das páginas vinculadas.
Status de exploração
Segundo o registro, a vulnerabilidade não consta no catálogo KEV da CISA, portanto não há exploração ativa registrada aqui. A probabilidade EPSS é de 0,00641 (percentil 0,49332), que é uma estimativa estatística e não evidência de ataques. Nenhuma exploração foi confirmada nas fontes consultadas para esta análise.
Remediação e mitigação
- Atualize o Vvveb para a versão 1.0.8.2 ou posterior, já que a descrição indica que versões anteriores são afetadas.
- Revise o arquivo docker-compose-apache.yaml e remova ou troque as credenciais fixas de banco, passando a usar segredos gerenciados fora do repositório.
- Não exponha o contêiner do phpMyAdmin a redes não confiáveis. Restrinja-o a hosts administrativos ou remova-o de implantações de produção.
- Troque as senhas de administradores e avalie se dados de clientes ou pedidos podem ter sido acessados enquanto a interface de banco esteve exposta.
O registro não traz uma lista completa de configurações seguras, então confirme os detalhes nas notas de versão do projeto e no aviso do GitHub.
Orientações de detecção
- Revise logs do servidor web e dos contêineres em busca de acessos à interface do phpMyAdmin a partir de origens inesperadas.
- Audite a atividade do banco em busca de logins administrativos incomuns, alterações de esquema ou leituras em massa das tabelas de usuários e pedidos.
- Verifique se as implantações com Docker Compose incluem o serviço do phpMyAdmin com credenciais padrão ou embutidas.
- Compare contas administrativas e hashes de senha com registros confiáveis para identificar alterações não autorizadas.
Limitações das informações disponíveis
O registro não tem título, nem dados estruturados de versões afetadas ou corrigidas, e não traz detalhes de CVSS além dos scores informados pela VulnCheck. A data do EPSS no registro (2026-10-13) deve ser verificada na fonte antes de ser usada. Esta análise não verifica de forma independente o caminho de exposição; baseia-se na descrição e nas referências vinculadas.
Perguntas frequentes
A CVE-2026-41930 está sendo explorada ativamente?
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, então esta análise não aponta exploração ativa. Nenhuma exploração foi confirmada nas fontes consultadas.
Qual versão do Vvveb corrige o problema?
A descrição informa que versões anteriores à 1.0.8.2 são afetadas, o que indica que a 1.0.8.2 é a primeira versão sem o problema. O registro não traz uma lista estruturada de versões corrigidas, então confirme os detalhes nas notas de versão.
Quais dados poderiam ser expostos?
Segundo a descrição, a exposição pode incluir hashes de senhas de administradores, informações pessoais de clientes e dados de pedidos, e o acesso de escrita pode permitir manipulação de dados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.