CVE-2026-49221 in Vvveb

摘要

由 VulDB • 2026-08-18

Vvveb是一款功能强大且易于使用的CMS，带有页面构建器，可用于搭建网站、博客或电子商务商店。在版本1.0.8.4之前，Vvveb后端的数字资产操作允许低权限的供应商（Vendor）访问与另一供应商产品关联的数字资产。`admin/controller/product/digital-asset.php` 和 `admin/controller/product/digital-assets.php` 控制器以及 `admin/sql/sqlite/digital_asset.sql` 数据查询使用了由调用者控制的 `digital_asset_id`，但未始终强制执行当前 `admin_id` 的所有权边界。攻击者可以列出资产、读取资产名称及文件元数据、编辑资产元数据或删除资产记录，这可能导致私有产品元数据泄露、资源链接损坏以及数据丢失。该问题已在版本1.0.8.4中修复。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-05-28
• 披露: 2026-08-18
• 管理: 已接受
• 条目: VDB-391792
• CPE: 准备好
• CWE: CWE-269 (已确认)
• CVSS: 8.8 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-49221
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-49221
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-49221/