Vvveb: admin/auth-token IDOR allows unauthorized disclosure of administrator REST API tokens

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• givanz Vvveb

  • < 1.0.8.3затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-41930Vvveb < 1.0.8.2 Hard-coded Credentials Information Disclosure via phpMyAdmin
  36Наблюдать
• CVE-2026-39918Vvveb < 1.0.8.1 Code Injection via Installation Endpoint
  36Наблюдать
• CVE-2026-54612Vvveb: Authenticated editor path traversal to PHP file write/RCE via data-v-save-global
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-4562215 мая 2026 г. · Vvveb: Unauthenticated reflected XSS in public product return form via customer_order_id
  21Наблюдать
• ← РаньшеCVE-2026-4580015 мая 2026 г. · Vvveb: Authenticated SQL injection in /user/orders via order_by and direction
  34Наблюдать
• Позже →CVE-2026-4640815 мая 2026 г. · Vvveb: checkout IDOR allows unauthorized reuse of another user's cart
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.