Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-126378 (CVSS 9.1) reside en la función validFile() del instalador de temas del CMS Vvveb. Esta función utiliza strpos() para validar las rutas de los archivos dentro de un paquete ZIP, en lugar de una comparación estricta. Un atacante autenticado como administrador puede eludir esta validación cargando un archivo ZIP que contenga un archivo PHP cuya ruta incluya la cadena "/theme.php" en algún lugar de su nombre de ruta, lo que permite lograr ejecución remota de código (RCE), especialmente en despliegues que utilizan el servidor web nginx.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de Vvveb CMS hasta la 1.0.8.6 inclusive.
Impacto y probabilidad de explotación
La falla es crítica y se clasifica como CWE-434: Descarga de archivos sin restricciones de tipo. Según el análisis EPSS, existe una probabilidad del 0.8% de que sea explotada activamente en los próximos 30 días (percentil 58%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que limita el volumen de objetivos inmediatos.
Qué hacer
Los administradores de sistemas que utilicen Vvveb CMS deben actualizar inmediatamente a una versión posterior a la 1.0.8.6, una vez que el proveedor publique un parche. Mientras tanto, se recomienda revisar y restringir estrictamente los privilegios de las cuentas de administrador.
| CVE | CVE-2026-126378 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| EPSS | 0.8% en 30 días (percentil 58) |
| CWE | CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.