CVE-2026-49226 in Vvveb
Zusammenfassung
von VulDB • 18.08.2026
Vvveb ist ein leistungsstarker und einfach zu bedienender CMS mit Page-Builder zum Erstellen von Websites, Blogs oder E-Commerce-Shops. Vor Version 1.0.8.4 ermöglichen die Backend-Post-Operationen in Vvveb einem Author mit niedrigen Berechtigungen den Zugriff auf Posts, die einem anderen Autor gehören. Der Controller admin/controller/content/posts.php erlaubt es, die serverseitig festgelegte Einschränkung von filter[admin_id] durch eine vom Aufrufer gesteuerte post_id zu ersetzen und akzeptiert diese für Duplizierungs- und Löschaktionen; während admin/sql/sqlite/post.sql die Zuordnung post.admin_id nicht konsistent erzwingt. Ein Angreifer kann Post-Metadaten einsehen, Post-Identifikatoren herausfinden, Posts duplizieren oder löschen sowie zugehörige Inhalte entfernen, wodurch private Entwürfe offengelegt und Inhaltsverschmutzung, Datenverlust oder Geschäftsstörungen verursacht werden können. Dieses Problem wurde in Version 1.0.8.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.