CVE-2026-32639 in Winter
الملخص
بحسب VulDB • 26/08/2026
Winter CMS هو نظام إدارة محتوى مبني على إطار عمل Laravel PHP. في الإصدارات التي تصل إلى 1.2.12 وشاملةً لها، لم تقم معالجات AJAX الخاصة بمحرر السمات (Theme Editor) في قسم النظام بإلزام فحوصات الصلاحيات المحددة لكل نوع من أنواع القوالب، مما مكن مستخدم الخلفية الذي يمتلك أي صلاحية CMS واحدة واحدًا من التصرف بأنواع قوالب خارج نطاق صلاحياته المصرّح لها. كان متحكم الـ CMS يقيّد الوصول إلى القسم ككل باستخدام منطق OR عبر صلاحياته الخمس، لكن المعالجات الفردية مثل onSave() و onDelete() و onDeleteTemplates() لم تتحقق مما إذا كان المستخدم يمتلك الصلاحية المحددة لنوع القالب المطلوب، لذا يمكن للمستخدم الذي يمتلك فقط صلاحية cms.manage_pages أن يصنع طلبات AJAX لحذف التخطيطات (layouts)، أو تعديل الأجزاء الجزئية (partials)، أو قراءة ملفات المحتوى. بشكل منفصل، تم تسجيل ويدجت AssetList لأي مستخدم يجتاز بوابة المتحكم بغض النظر عن صلاحيته cms.manage_assets، وتغيب معالجتها onUpload() استدعاء التحقق من السمة الموجود في المعالجات الأخرى التي تُجري تغييرات، مما يسمح برفع ملفات غير مصرّح بها إلى دليل أصول السمة النشطة. يتطلب الاستغلال حساب خلفية مُصادق عليه يحمل واحدة على الأقل من صلاحيات محرر السمات الخاصة بنظام CMS. تم إصلاح هذه المشكلة في الإصدار 1.2.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.