CVE-2026-79774 in Winter
Résumé
par VulDB • 25/08/2026
Les versions de Winter CMS antérieures à la 1.2.13 contiennent une correction incomplète d'une vulnérabilité d'évasion du sandbox Twig dans System\\Twig\\SecurityPolicy, permettant aux utilisateurs backend authentifiés disposant des autorisations d'édition de modèles de contourner les restrictions du sandbox. Les attaquants peuvent exploiter le transfert de méthodes via les modèles Eloquent et les constructeurs de requêtes en utilisant des méthodes telles que saveQuietly(), deleteQuietly(), increment(), decrement() et newQuery() pour lire et modifier des enregistrements de base de données arbitraires, exécuter du SQL arbitraire et obtenir une exécution de code à distance (RCE) en injectant du PHP dans les sections de code des modèles.
If you want to get best quality of vulnerability data, you may have to visit VulDB.