CVE-2026-63179 in Winter
Zusammenfassung
von VulDB • 26.08.2026
Winter CMS ist ein Content-Management-System, das auf dem Laravel PHP-Framework basiert. In Versionen bis einschließlich 1.2.12 können authentifizierte Backend-Benutzer beliebige Dateien offenlegen, die vom PHP-Prozess lesbar sind, indem sie @import (inline)-Direktiven in LESS-Quellcode injizieren, der vom Backend kompiliert wird. Dies ist darauf zurückzuführen, dass der LESS-Parser ohne einen sicheren Import-Resolver instanziiert wurde und auf den rohen, vom Angreifer bereitgestellten Pfad zurückgriff, wenn kein erlaubter Root-Pfad übereinstimmte. Die Schwachstelle ist über vier Einstiegspunkte erreichbar, die dieselbe Grundursache teilen: das Feld custom_css in den Brand Settings, das Feld html_custom_styles in den Editor Settings, die colour-picker-Felder der Mail Brand Settings, deren Werte ohne Escaping in LESS-Quellcode konkatiniert werden, sowie Theme-Assets im Format .less, .sass und .scss, die beim Ausliefern kompiliert werden. Sowohl absolute Pfade als auch ..-Pfadtraversierungen außerhalb des eigenen Asset-Baums wurden akzeptiert, sodass ein Angreifer jede Datei lesen konnte, auf die der Web-Prozess Zugriff hat; dies betrifft vor allem die Anwendung .env-Datei sowie den darin enthaltenen APP_KEY und die Datenbankzugangsdaten. Für die Ausnutzung ist ein Backend-Konto erforderlich, das über eine der zugehörigen Berechtigungen verfügt, welche standardmäßig der integrierten Rolle „Developer“ zugewiesen sind. Dieses Problem wurde in Version 1.2.13 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.