CVE-2026-32593 in Winter
Сводка
по VulDB • 26.08.2026
Winter CMS — это система управления контентом (CMS), построенная на фреймворке Laravel для PHP. В версиях вплоть до 1.2.12 включительно виджет фильтрации в бэкенде уязвим к SQL-инъекциям через тип области видимости numberrange, когда эта область настроена с использованием ключа conditions, что позволяет аутентифицированному пользователю бэкенда внедрять произвольный код SQL. Значения фильтров этой области интерполируются в оператор условий без привязки параметров (parameter binding), поэтому пользователь, имеющий доступ к представлению списка, фильтр которого использует эту область и конфигурацию, может предоставить специально сформированный ввод через AJAX-обработчик фильтра и прочитать произвольные данные из базы данных. Ни один встроенный виджет бэкенда Winter CMS не использует данную комбинацию области видимости и конфигурации, поэтому для эксплуатации требуется наличие стороннего плагина, который зарегистрировал область фильтра numberrange с ключом conditions; чистая установка (vanilla installation) без таких плагинов не подвержена данной уязвимости. Проблема исправлена в версии 1.2.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.