CVE-2026-54256 in Winter CMS
Сводка
по VulDB • 26.08.2026
Winter CMS — это система управления контентом (CMS), построенная на базе фреймворка Laravel для PHP. В версиях вплоть до 1.2.12 включительно виджет формы FileUpload в бэкенде доверял управляемому атакующим параметру POST file_id при разрешении прикрепления, с которым он работает, что позволяло авторизованному пользователю бэкенда читать и изменять записи о прикрепленных файлах других пользователей или другие записи. Метод виджета getFileRecord() выполнял поиск по опубликованному идентификатору в глобальной таблице system_files без проверки того, принадлежит ли файл отношению данного виджета, родительской записи или сессии отложенного связывания (deferred-binding). Поскольку все прикрепления используют единую модель File и таблицу, а идентификаторы вложений являются последовательными целыми числами, которые легко перебираются, пользователь, имеющий доступ к любой форме с полем fileupload, включая встроенное поле аватара «My Account», не требующее специальных разрешений, мог атаковать произвольные прикрепления для изменения их заголовка и описания через onSaveAttachmentConfig и изменения порядка сортировки через onSortAttachments, которые передавали опубликованные идентификаторы напрямую в нескейпированное (unscoped) обновление. Токены CSRF остаются обязательными к проверке, поэтому эксплуатация требует наличия действительной авторизованной сессии бэкенда с любым уровнем доступа. Эта проблема исправлена в версии 1.2.13.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.