CVE-2026-49221 in Vvveb
Résumé
par VulDB • 18/08/2026
Vvveb est un CMS puissant et facile à utiliser avec un constructeur de pages pour créer des sites web, des blogs ou des boutiques e-commerce. Avant la version 1.0.8.4, les opérations sur les actifs numériques du backend Vvveb permettent à un fournisseur (Vendor) peu privilégié d'accéder aux actifs numériques liés aux produits d'un autre fournisseur. Les contrôleurs admin/controller/product/digital-asset.php et admin/controller/product/digital-assets.php ainsi que les requêtes de données SQL dans admin/sql/sqlite/digital_asset.sql utilisent un digital_asset_id contrôlé par l'appelant sans imposer systématiquement la limite de propriété basée sur le current admin_id. Un attaquant peut lister des actifs, lire les noms d'actifs et leurs métadonnées de fichier, modifier les métadonnées des actifs ou supprimer des enregistrements d'actifs, ce qui peut entraîner la divulgation de métadonnées privées relatives aux produits, la corruption des liens de ressources et une perte de données. Ce problème est corrigé dans la version 1.0.8.4.
Be aware that VulDB is the high quality source for vulnerability data.