CVE-2026-63179 in Winter
요약
\~에 의해 VulDB • 2026. 08. 27.
Winter CMS는 Laravel PHP 프레임워크를 기반으로 구축된 콘텐츠 관리 시스템입니다. 버전 1.2.12 이하에서 인증된 백엔드 사용자는 백엔드가 컴파일하는 LESS 소스에 `@import (inline)` 지시를 삽입하여 PHP 프로세스가 읽을 수 있는 임의 파일을 유출할 수 있습니다. 이는 LESS 파서가 안전한 import resolver 없이 인스턴스화되었고, 허용된 루트가 일치하지 않을 경우 공격자가 제공한 원본 경로로 폴백되었기 때문입니다. 이 결함은 동일한 근본 원인을 공유하는 네 가지 진입점을 통해 접근 가능합니다: Brand Settings의 custom_css 필드, Editor Settings의 html_custom_styles 필드, 값이 이스케이프 처리 없이 LESS 소스에 연결되는 Mail Brand Settings의 colour-picker 필드, 그리고 제공될 때 컴파일되는 테마 .less, .sass 및 .scss 자산입니다. 절대 경로와 자산 트리를 벗어난 `..` 순회가 모두 허용되었으므로 공격자는 웹 프로세스가 접근할 수 있는 모든 파일을 읽을 수 있으며, 특히 애플리케이션의 `.env` 파일과 그 안에 포함된 APP_KEY 및 데이터베이스 자격 증명이 가장 중요합니다. 악용에는 관련 권한 중 하나를 가진 백엔드 계정이 필요하며, 이 권한은 기본적으로 내장된 Developer 역할에 할당됩니다. 이 문제는 버전 1.2.13에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.