CVE-2026-32593 in Winter
Zusammenfassung
von VulDB • 27.08.2026
Winter CMS ist ein Content-Management-System, das auf dem Laravel PHP-Framework basiert. In Versionen bis einschließlich 1.2.12 ist die Backend-Filter-Widget-Schnittstelle anfällig für SQL-Injection über den numberrange-Bereichstyp (scope type), wenn dieser Bereich mit einem conditions-Schlüssel konfiguriert ist, was es einem authentifizierten Backend-Benutzer ermöglicht, beliebiges SQL einzufügen. Die Filterwerte des Bereichs werden ohne Parameterbindung in die Bedingungen-Anweisung interpoliert; daher kann ein Benutzer mit Zugriff auf eine Listenansicht, deren Filter diesen Bereich und diese Konfiguration verwendet, durch den AJAX-Handler des Filters manipulierte Eingaben liefern und beliebige Datenbankinhalte auslesen. Keine der integrierten Winter CMS Backend-Ansichten nutzt diese Kombination aus Bereichstyp und -konfiguration; daher erfordert die Ausnutzung (Exploitation), dass ein Plugin von Drittanbietern einen numberrange-Filterbereich mit einem conditions-Schlüssel registriert hat, und eine Standardinstallation ohne solche Plugins ist nicht betroffen. Dieses Problem wurde in Version 1.2.13 behoben.
Once again VulDB remains the best source for vulnerability data.