Vvveb: Authentifizierungsumgehung im Passwort-Reset ermöglicht Kontoübernahme

Zusammenfassung

Vvveb ist ein CMS mit Page Builder für Websites, Blogs und Web-Shops. Versionen vor 1.0.8.7 validieren die GET-Parameter user und token in der Passwort-Reset-Funktion nicht ausreichend. Laut dem GitHub-Advisory kann ein Angreifer PHP-Array-Parameter anstelle von Strings übergeben, um die Prüfung zu umgehen, das Passwort beliebiger Benutzer zurücksetzen und deren Konten übernehmen, einschliesslich Administratorkonten. Es sind weder eine Anmeldung noch eine Benutzerinteraktion erforderlich.

Betroffen

• Vvveb-Versionen vor 1.0.8.7 (CNA-Eintrag: betroffen < 1.0.8.7; das GitHub-Advisory nennt 1.0.8.6 als betroffen)
• VulDB beschreibt den Bereich als bis einschliesslich 1.0.8.6

Behoben in

• Auf Vvveb 1.0.8.7 oder neuer aktualisieren (Herstellerfix laut CVE-Eintrag und Advisory)

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Den Zugriff auf /admin und die Passwort-Reset-Endpunkte nach Möglichkeit per IP-Adresse oder VPN einschränken.
• Öffentlichen Passwort-Reset für Selbstbedienung deaktivieren, sofern der Betrieb dies zulässt.

Ausnutzung

• Das GitHub-Advisory beschreibt einen Proof of Concept mit manipulierten token[]- und user[]-Parametern in der Reset-URL.
• VulDB meldet, dass kein Exploit verfügbar ist.
• Es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Vvveb-Installationen und deren Versionen inventarisieren.
• Alle Installationen unter 1.0.8.7 prioritär aktualisieren.
• Administratorkonten und die jüngsten Passwort-Reset-Aktivitäten auf öffentlich erreichbaren Websites prüfen.
• Webserver-Logs auf Reset-Anfragen mit Array-Parametern wie token[] oder user[] prüfen.
• Ausserdem die verwandten Vvveb-CVEs CVE-2026-112904 und CVE-2026-112905 prüfen und mit demselben Update beheben.

Quellen der Recherche

• GitHub Security Advisory GHSA-qw5g-hcm8-9jcj github.com
• VulDB entry 429140 vuldb.com
• CVE record summary (threatint) cve.threatint.com
• OffSeq threat radar CVE-2026-110799 radar.offseq.com
• Vvveb user and login documentation docs.vvveb.com
• Vulners PT-2026-110799 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:22.