CVE-2026-32593 in Winter
要約
〜によって VulDB • 2026年08月26日
Winter CMSはLaravel PHPフレームワークを基盤としたコンテンツ管理システムです。バージョン1.2.12以前では、バックエンドのFilterウィジェットが脆弱性を持ち、numberrangeスコープタイプでconditionsキーが設定されている場合、SQLインジェクションの対象となります。これにより、認証済みバックエンドユーザーは任意のSQLを注入できます。スコープのフィルター値はパラメータバインドなしで条件文に挿入されるため、このスコープと構成を使用するリストビューへのアクセス権を持つユーザーは、フィルターのAJAXハンドラーを通じて不正な入力を提供し、データベース内の任意の内容を読み取ることができます。Winter CMSの標準的なバックエンドビューでは、このスコープタイプと構成の組み合わせが使用されていないため、攻撃には第三者製プラグインでnumberrangeフィルタースコープをconditionsキー付きで登録する必要があります。そのようなプラグインがないデフォルトインストールは影響を受けません。本問題はバージョン1.2.13で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.