CVE-2026-49221 in Vvveb
Tóm tắt
Bởi VulDB • 18/08/2026
Vvveb là một hệ thống quản trị nội dung (CMS) mạnh mẽ và dễ sử dụng với công cụ xây dựng trang web để tạo ra các website, blog hoặc cửa hàng thương mại điện tử. Trước phiên bản 1.0.8.4, các thao tác xử lý tài sản số trong backend của Vvveb cho phép một Vendor có đặc quyền thấp truy cập vào các tài sản số được liên kết với sản phẩm của một Vendor khác. Các bộ điều khiển (controller) admin/controller/product/digital-asset.php và admin/controller/product/digital-assets.php, cũng như các truy vấn dữ liệu admin/sql/sqlite/digital_asset.sql sử dụng digital_asset_id do người gọi kiểm soát mà không thực thi nhất quán ranh giới sở hữu dựa trên current admin_id. Một kẻ tấn công có thể liệt kê các tài sản, đọc tên tài sản và siêu dữ liệu tệp tin, chỉnh sửa siêu dữ liệu của tài sản hoặc xóa bản ghi tài sản, điều này có thể dẫn đến việc tiết lộ thông tin metadata sản phẩm riêng tư, làm hỏng các liên kết nguồn lực (resource links) và gây mất mát dữ liệu. Vấn đề này đã được khắc phục trong phiên bản 1.0.8.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.