CVE-2026-79773 in Winter
要約
〜によって VulDB • 2026年08月25日
Winter CMS 1.2.13 より前のバージョンには、JavascriptImporter フィルターにローカルファイルインクルージョン（LFI）の脆弱性が存在し、cms.manage_assets権限を持つ認証済みユーザーがテーマのJavaScriptアセット内に =include または =require ディレクティブを配置することで、サーバー上で読み取り可能な任意のファイルを漏洩させることができます。攻撃者はテーマディレクトリ外の .env などのファイルへの参照を行うことができ、combine ルートを通じて提供される結合された出力は認証されていない訪問者にも読み取れるため、アプリケーションキーやデータベース資格情報が露出します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.