CVE-2026-6257: Vvveb CMS: RCE por renomeação irrestrita de arquivos no gerenciador de mídia
O Vvveb CMS 1.0.8.2 possui uma instrução return ausente no manipulador de renomeação de arquivos da mídia, o que permite que usuários autenticados renomeiem arquivos para extensões bloqueadas, como .php e .htaccess. O registro informa CVSS 3.1 9.1 (crítico) e CWE-434, upload irrestrito de arquivo de tipo perigoso. A vulnerabilidade não consta no catálogo CISA KEV e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma falha na funcionalidade de gerenciamento de mídia do Vvveb CMS 1.0.8.2. A ausência de uma instrução return no manipulador de renomeação de arquivos faz com que uma verificação de renomeação não interrompa a operação, permitindo que usuários autenticados renomeiem arquivos para extensões que deveriam ser bloqueadas, como .php e .htaccess. O registro classifica a fraqueza como CWE-434, upload irrestrito de arquivo de tipo perigoso.
Impacto
Segundo a descrição do registro, a falha pode levar à execução remota de código como o usuário www-data no servidor que hospeda o CMS. A pontuação base CVSS 3.1 é 9.1 (crítico), com privilégios exigidos em nível alto e mudança de escopo, e o CNA também informa uma pontuação CVSS 4.0 de 9.2. Confidencialidade, integridade e disponibilidade aparecem como altas no vetor 3.1.
Produtos e versões afetados
- Produto: Vvveb CMS (repositório do projeto citado no registro).
- Versão expressamente citada no registro: 1.0.8.2.
- O registro não lista intervalos de versões afetadas ou corrigidas. Outras versões são desconhecidas com base nos dados disponíveis.
Status de exploração
- CISA KEV: o registro indica que esta CVE não está listada no KEV.
- Não há exploração confirmada na natureza nas fontes consultadas para esta análise.
- A probabilidade EPSS é 0.0091, com percentil 0.58933, conforme registrado.
Correção e mitigação
- Verifique se a instalação do Vvveb CMS é a versão 1.0.8.2 ou outra, e revise o commit upstream listado nas referências para a alteração de código.
- Aplique a atualização do fornecedor ou do projeto quando estiver confirmado que ela trata este problema; o registro não identifica uma versão corrigida.
- Até a correção, restrinja quem possui permissões autenticadas de upload e renomeação de mídia e revise as contas com esses direitos.
- Garanta que o servidor web não execute conteúdo enviado a diretórios de mídia e limite a capacidade do servidor de aplicar arquivos de configuração por diretório nos caminhos de upload.
Orientações para detecção
- Monitore diretórios de mídia em busca de arquivos novos ou renomeados com extensões executáveis no servidor ou nomes de arquivos de configuração do servidor web.
- Revise os logs da aplicação para operações de renomeação de itens de mídia, especialmente por contas que normalmente não gerenciam arquivos.
- Observe execuções inesperadas de PHP a partir de diretórios de upload e alterações em arquivos de configuração do servidor web.
Limitações das informações disponíveis
A análise se baseia na descrição do registro e na lista de referências. O aviso da VulnCheck e o commit no GitHub foram listados, mas seu conteúdo não foi usado como fonte de fatos adicionais aqui. Nenhuma versão corrigida, intervalo completo de versões afetadas ou status de exploração pública é confirmado pelo registro. A data do EPSS é apresentada como consta no registro.
Perguntas frequentes
A CVE-2026-6257 está sendo explorada ativamente?
O registro indica que esta CVE não está listada no catálogo KEV da CISA, e não há exploração confirmada na natureza nas fontes consultadas para esta análise.
Quais versões do Vvveb CMS são afetadas?
O registro cita expressamente a versão 1.0.8.2, mas não fornece intervalo afetado nem versão corrigida, portanto outras versões são desconhecidas com base nos dados disponíveis.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.