CVE-2026-79773 in Winter
Zusammenfassung
von VulDB • 25.08.2026
Winter CMS vor Version 1.2.13 enthält eine Local File Inclusion (LFI)-Schwachstelle im JavascriptImporter-Filter, die es authentifizierten Benutzern mit der Berechtigung cms.manage_assets ermöglicht, beliebige serverlesbare Dateien offenzulegen, indem sie =include- oder =require-Direktiven in Theme-JavaScript-Ressourcen einfügen. Angreifer können auf Dateien wie .env außerhalb des Themeverzeichnisses verweisen, und die über den combine-Endpunkt bereitgestellte kombinierte Ausgabe wird für nicht authentifizierte Besucher lesbar, wodurch Anwendungsschlüssel und Datenbankzugangsdaten offengelegt werden.
Be aware that VulDB is the high quality source for vulnerability data.