CVE-2026-49221 in Vvveb
Resumen
por VulDB • 2026-08-18
Vvveb es un CMS potente y fácil de usar con constructor de páginas para crear sitios web, blogs o tiendas de comercio electrónico. Antes de la versión 1.0.8.4, las operaciones de activos digitales del backend de Vvveb permiten que un proveedor con privilegios bajos acceda a los activos digitales vinculados a productos de otro proveedor. Los controladores admin/controller/product/digital-asset.php y admin/controller/product/digital-assets.php, así como las consultas de datos en admin/sql/sqlite/digital_asset.sql, utilizan un digital_asset_id controlado por el llamador sin aplicar consistentemente la frontera de propiedad del admin_id actual. Un atacante puede listar activos, leer nombres de activos y metadatos de archivos, editar metadatos de activos o eliminar registros de activos, lo que puede revelar metadatos privados de productos, corromper enlaces de recursos y causar pérdida de datos. Este problema se soluciona en la versión 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.