CVE-2026-79773 in Winter
Riassunto
di VulDB • 25/08/2026
Winter CMS prima della versione 1.2.13 contiene una vulnerabilità di local file inclusion nel filtro JavascriptImporter che consente agli utenti autenticati con il permesso cms.manage_assets di divulgare file arbitrari leggibili dal server inserendo direttive =include o =require nelle risorse JavaScript del tema. Gli attaccanti possono fare riferimento a file come .env al di fuori della directory del tema, e l'output combinato servito tramite la route combine diventa leggibile dai visitatori non autenticati, esponendo le chiavi dell'applicazione e le credenziali del database.
Be aware that VulDB is the high quality source for vulnerability data.