Vvveb: Path Traversal in Backup-Funktionen nextRestore() und nextBackup()
Zusammenfassung
Vvveb, ein CMS mit Page Builder, enthält eine Path-Traversal-Schwachstelle in den administrativen Backup-Funktionen nextRestore() und nextBackup(). Der Parameter file wird nicht bereinigt, daher kann ein authentifizierter Administrator über nextRestore beliebige Dateien auf dem Server lesen und über nextBackup SQL-Dump-Inhalte an beliebige Pfade schreiben. Für die Ausnutzung sind Administratorrechte erforderlich; die Quellen beschreiben keinen Angriffsweg ohne Authentifizierung.
Betroffen
- Vvveb 1.0.8.6 und früher (CNA-Versionsbereich: vor Commit aa29cb0)
Behoben in
- Commit aa29cb0 bereinigt den Backup-Dateinamen.
- Das GitHub-Advisory führt 1.0.8.7 als gepatcht auf.
- Ziel ist 1.0.9.0 oder neuer: Dessen Release-Notes nennen eine Nachbesserung zur Behandlung von Backslashes in nextRestore(), die in 1.0.8.7 möglicherweise fehlt.
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Übergangsmassnahme: Backup- und Restore-Berechtigungen auf die dafür benötigten Rollen beschränken.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar.
- Nicht im CISA-KEV-Katalog; im Rahmen der Recherche wurde kein öffentlicher Exploit gefunden.
- NVD-Status: Deferred.
Unsere Empfehlung
- Alle Vvveb-Installationen und deren Versionen inventarisieren.
- Auf 1.0.9.0 oder neuer aktualisieren.
- Admin-Zugriff per IP-Allowlist oder VPN einschränken, MFA durchsetzen und Admin-Konten überprüfen.
- Backup-Berechtigungen auf die benötigten Rollen beschränken.
- Web-Server- und Anwendungslogs auf ungewöhnliche Backup- oder Restore-Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-75qx-795q-v79g github.com
- Fix commit aa29cb0: Sanitize backup filename github.com
- Vvveb release 1.0.9.0 github.com
- Vulners CVE record CVE-2026-112904 vulners.com
- VulDB entry 425664 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.