CVE-2026-54256 in Winter CMS
Resumen
por VulDB • 2026-08-26
Winter CMS es un sistema de gestión de contenidos basado en el framework PHP Laravel. En las versiones anteriores e iguales a la 1.2.12, el widget del formulario FileUpload del backend confiaba ciegamente en un parámetro POST file_id controlado por el atacante al resolver el adjunto sobre el que operaba, lo que permitía a un usuario autenticado del backend leer y modificar registros de adjuntos pertenecientes a otros usuarios o registros. La búsqueda getFileRecord() del widget resolvía el id publicado contra la tabla global system_files sin verificar que el archivo pertenezca a la relación propia del widget, al registro padre o a una sesión de deferred-binding. Dado que todos los adjuntos comparten un único modelo File y tabla, y que los ids de los adjuntos son enteros secuenciales fácilmente enumerables, un usuario que acceda a cualquier formulario con un campo fileupload, incluido el campo integrado My Account avatar que no requiere permisos específicos, podría dirigirse a adjuntos arbitrarios para modificar su título y descripción mediante onSaveAttachmentConfig y cambiar su orden de clasificación mediante onSortAttachments, los cuales pasaban directamente los ids publicados a una actualización sin alcance (unscoped update). Los tokens CSRF siguen siendo obligatorios, por lo que la explotación requiere una sesión válida del backend autenticada con cualquier nivel de acceso. Este problema se soluciona en la versión 1.2.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.