CVE-2026-54256 in Winter CMS
Zusammenfassung
von VulDB • 26.08.2026
Winter CMS ist ein Content-Management-System, das auf dem Laravel PHP-Framework basiert. In Versionen bis einschließlich 1.2.12 vertraute das Backend-Formularwidget „FileUpload" bei der Auflösung des anzupassenden Anhangs einem vom Angreifer kontrollierten POST-Parameter `file_id`, was es einem authentifizierten Benutzer im Backend ermöglichte, Anhangsaufzeichnungen anderer Benutzer oder Aufzeichnungen zu lesen und zu ändern. Die Lookup-Funktion `getFileRecord()` des Widgets löste die übermittelte ID gegen die globale Systemtabelle `system_files` auf, ohne zu überprüfen, ob die Datei zur eigenen Relation, zum übergeordneten Datensatz oder zur Deferred-Binding-Sitzung des Widgets gehörte. Da alle Anhänge ein einzelnes File-Modell und eine einzelne Tabelle teilen und Anhangs-IDs sequenzielle Ganzzahlen sind, die leicht enumeriert werden können, konnte ein Benutzer, der irgendein Formular mit einem Dateiupload-Feld erreicht – einschließlich des integrierten Avatarfelds „Mein Konto“, das keine spezifischen Berechtigungen erfordert –, beliebige Anhänge angreifen, um deren Titel und Beschreibung über `onSaveAttachmentConfig` zu ändern sowie die Sortierreihenfolge über `onSortAttachments` anzupassen, was übermittelte IDs direkt an ein unscoped Update weiterleitete. CSRF-Tokens werden weiterhin erzwungen, daher ist für eine Ausnutzung eine gültige authentifizierte Backend-Sitzung mit beliebiger Zugriffsebene erforderlich. Dieses Problem wurde in Version 1.2.13 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.