CVE-2026-32639 in Winter
요약
\~에 의해 VulDB • 2026. 08. 27.
Winter CMS는 Laravel PHP 프레임워크를 기반으로 구축된 콘텐츠 관리 시스템입니다. 버전 1.2.12 이하에서 CMS 섹션의 테마 편집기 AJAX 핸들러는 템플릿 유형별 권한 검사를 강제하지 않아, 단일 CMS 권한만 가진 백엔드 사용자가 자신의 승인 범위를 벗어난 템플릿 유형에 대해 작업을 수행할 수 있었습니다. CMS 컨트롤러는 5가지 권한 간 OR 논리를 사용하여 전체 섹션에 대한 접근을 제한했지만, onSave(), onDelete(), onDeleteTemplates()와 같은 개별 핸들러는 요청된 템플릿 유형에 대한 특정 권한을 사용자가 보유하고 있는지 확인하지 않았습니다. 따라서 cms.manage_pages 권한만 가진 사용자는 레이아웃 삭제, 부분 파일 수정 또는 콘텐츠 파일 읽기를 위한 AJAX 요청을 작성할 수 있었습니다. 별도로 AssetList 위젯은 controller gate를 통과한 모든 사용자(cms.manage_assets 권한 여부와 무관)에 대해 등록되었으며, onUpload() 핸들러는 다른 변경 작업용 핸들러에서 존재하던 테마 검증 호출을 생략하여 활성 테마의 asset 디렉토리 내로 무단 파일 업로드가 가능하게 했습니다. 이 취약점을 악용하려면 CMS Theme Editor 관련 최소 하나의 권한이 있는 인증된 백엔드 계정이 필요합니다. 이 문제는 버전 1.2.13에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.