Vvveb CMS: Gespeicherte Cross-Site-Scripting-Lücke durch Sanitizer-Umgehung

Zusammenfassung

Vvveb, ein Open-Source-CMS auf Basis von PHP, entfernt Event-Handler-Attribute aus HTML nicht zuverlässig, wenn ein Tag ein Grösser-als-Zeichen innerhalb eines in Anführungszeichen stehenden Attributwerts enthält. Ein Benutzer mit niedrigen Rechten, etwa ein Autor oder Mitwirkender, kann bösartiges JavaScript in Beitrags- oder Produktinhalte speichern. Das Skript läuft im Browser jedes Besuchers und jedes Administrators, der diesen Inhalt anzeigt oder vorschaut, und kann zur Übernahme einer Administrator-Sitzung und des CMS führen. Voraussetzung sind ein Autoren- oder Mitwirkenden-Konto und eine Anzeige des Inhalts durch einen Administrator oder Besucher.

Betroffen

• Vvveb-Versionen vor 1.0.8.6 (CNA: alle Versionen unterhalb 1.0.8.6; GitHub-Advisory: bis einschliesslich 1.0.8.5)

Behoben in

• Behoben in Vvveb 1.0.8.6 (Fix-Commit c466e61, veröffentlicht am 11. Juni 2026 laut Release-Seite des Herstellers)

Umgehung

• Unbekannt. Keine vom Hersteller veröffentlichte Zwischenlösung gefunden.
• Zwischenmassnahme (nicht vom Hersteller): Autoren- und Mitwirkenden-Konten auf vertrauenswürdige Benutzer beschränken und bestehende Beitrags- und Produktinhalte auf Event-Handler-Attribute prüfen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; nicht in KEV gelistet.
• Öffentlicher Proof of Concept: keiner in der Herstellerwarnung oder in den konsultierten Quellen gefunden.

Unsere Empfehlung

• Alle Vvveb-Installationen und deren Versionen erfassen.
• Auf die neueste Version aktualisieren, mindestens auf 1.0.8.6.
• Autoren- und Mitwirkenden-Konten sowie bestehende Beiträge und Produkte auf verdächtige Event-Handler-Attribute prüfen.
• Zugriff auf den Admin-Bereich einschränken, wo er aus dem Internet nicht benötigt wird.
• Seiten mit mehreren Autoren-Konten oder ohne Update auf 1.0.8.6 priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Release Vvveb 1.0.8.6 github.com
• GitHub Security Advisory GHSA-97xr-82vc-wj2v github.com
• OSV CVE-2026-55230 osv.dev
• VulDB CVE-2026-55230 vuldb.com
• Strix CVE-2026-55230 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:17.