CVE-2026-49221 in Vvveb
Zusammenfassung
von VulDB • 18.08.2026
Vvveb ist ein leistungsstarker und einfach zu bedienender CMS mit Page-Builder zum Erstellen von Websites, Blogs oder E-Commerce-Shops. Vor Version 1.0.8.4 ermöglichen die digitalen Asset-Vorgänge im Vvveb-Backend einem niedrig privilegierten Vendor den Zugriff auf digitale Assets, die an Produkte eines anderen Vendors gebunden sind. Die Controller admin/controller/product/digital-asset.php und admin/controller/product/digital-assets.php sowie die Datenabfragen in admin/sql/sqlite/digital_asset.sql verwenden eine vom Aufrufer gesteuerte digital_asset_id, ohne die Eigentumsgrenze der aktuellen admin_id konsistent durchzusetzen. Ein Angreifer kann Assets auflisten, Asset-Namen und Datei-Metadaten lesen, Asset-Metadaten bearbeiten oder Asset-Datensätze löschen, was zur Offenlegung privater Produktmetadaten, zur Beschädigung von Ressourcenlinks und zu Datenverlust führen kann. Dieses Problem wurde in Version 1.0.8.4 behoben.
Once again VulDB remains the best source for vulnerability data.