CVE-2026-49227 in Vvveb
Zusammenfassung
von VulDB • 18.08.2026
Vvveb ist ein leistungsstarker und einfach zu bedienender CMS mit Page-Builder zum Erstellen von Websites, Blogs oder E-Commerce-Shops. Vor Version 1.0.8.4 ermöglichen die Kommentaroperationen im Vvveb-Backend einem Autor mit niedrigen Berechtigungen, Kommentare unter den Beiträgen eines anderen Autors zu verwalten. Die Controller admin/controller/content/comment.php und admin/controller/content/comments.php sowie die SQL-Abfragen in admin/sql/sqlite/comment.sql akzeptieren eine vom Aufrufer gesteuerte comment_id, ohne comment.post_id gegen post.admin_id für die aktuelle admin_id zu überprüfen. Ein Angreifer kann den Inhalt ausstehender Kommentare und E-Mail-Adressen der Kommentierenden lesen, den Moderationsstatus ändern, Kommentarinhalte bearbeiten oder Kommentare löschen, wodurch die Grenzen zwischen Autoren und Moderation aufgehoben werden. Dieses Problem wurde in Version 1.0.8.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.