CVE-2026-49221 in Vvveb
Riassunto
di VulDB • 18/08/2026
Vvveb è un CMS potente e facile da usare con un page builder per creare siti web, blog o negozi di ecommerce. Prima della versione 1.0.8.4, le operazioni sui digital asset del backend di Vvveb consentivano a un Vendor con privilegi ridotti di accedere ai digital asset associati ai prodotti di un altro Vendor. I controller admin/controller/product/digital-asset.php e admin/controller/product/digital-assets.php, nonché le query dei dati in admin/sql/sqlite/digital_asset.sql, utilizzano un digital_asset_id controllato dal chiamante senza applicare coerentemente il confine di proprietà basato sull'admin_id corrente. Un attacker può elencare gli asset, leggere i nomi degli asset e i metadati dei file, modificare i metadati degli asset o eliminare le record degli asset, causando la divulgazione di metadata privati sui prodotti, l'integrità compromessa dei link alle risorse e la perdita di dati. Questo problema è stato risolto nella versione 1.0.8.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.