CVE-2026-32639 in Winter
要約
〜によって VulDB • 2026年08月26日
Winter CMSはLaravel PHPフレームワークを基盤としたコンテンツ管理システムです。バージョン1.2.12以前では、CMSセクションのテーマエディタAJAXハンドラがテンプレートタイプごとの権限チェックを実施しなかったため、任意の単一のCMS権限を持つバックエンドユーザーが、認可されたスコープ外のテンプレートタイプに対して操作を行うことができました。CMSコントローラーは5つの権限全体でOR論理を使用してセクション全体のアクセスを制限していましたが、onSave()、onDelete()、およびonDeleteTemplates()などの個別ハンドラでは、要求されたテンプレートタイプの特定の権限をユーザーが保持しているかどうかを検証しませんでした。そのため、cms.manage_pagesのみの権限を持つユーザーはAJAXリクエストを作成してレイアウトを削除したり、パーシャルを変更したり、コンテンツファイルを読み取ったりすることができました。別途、AssetListウィジェットはコントローラーゲートを通過したすべてのユーザーに対して登録されており、cms.manage_assets権限の有無に関係なく、onUpload()ハンドラには他の変更系ハンドラに含まれていたテーマ検証呼び出しが省略されていたため、認可されていないファイルアップロードがアクティブなテーマのアセットディレクトリに許可されていました。攻撃には、少なくとも1つのCMSテーマエディタ権限を持つ認証済みバックエンドアカウントが必要です。この問題はバージョン1.2.13で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.