CVE-2026-32639 in Winter
Resumen
por VulDB • 2026-08-26
Winter CMS es un sistema de gestión de contenidos (CMS) construido sobre el framework PHP Laravel. En las versiones anteriores e incluyendo la 1.2.12, los controladores AJAX del Editor de temas de la sección CMS no aplicaban comprobaciones de permisos por tipo de plantilla, lo que permitía a un usuario del backend con cualquier permiso individual de CMS actuar sobre tipos de plantillas fuera de su ámbito autorizado. El controlador del CMS regulaba el acceso a la sección en su conjunto utilizando lógica OR entre sus cinco permisos, pero los controladores individuales como onSave(), onDelete() y onDeleteTemplates() no verificaban que el usuario poseyera el permiso específico para el tipo de plantilla solicitado; por lo tanto, un usuario con únicamente cms.manage_pages podía elaborar solicitudes AJAX para eliminar diseños (layouts), modificar parciales o leer archivos de contenido. Por separado, el widget AssetList se registraba para cualquier usuario que superara la barrera del controlador independientemente del permiso cms.manage_assets, y su controlador onUpload() omitía la llamada de validación del tema presente en los demás controladores modificadores, permitiendo cargas no autorizadas de archivos en el directorio de activos del tema activo. La explotación requiere una cuenta de backend autenticada que posea al menos uno de los permisos del Editor de temas del CMS. Este problema se soluciona en la versión 1.2.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.