CVE-2026-79774 in Winter
Сводка
по VulDB • 25.08.2026
В версиях Winter CMS до 1.2.13 включена неполная исправление уязвимости обхода песочницы Twig в System\\Twig\\SecurityPolicy, которая позволяет аутентифицированным пользователям бэкенда с правами на редактирование шаблонов обойти ограничения песочницы. Злоумышленники могут эксплуатировать пересылку методов через модели Eloquent и конструкторы запросов (query builders), используя такие методы, как saveQuietly(), deleteQuietly(), increment(), decrement() и newQuery(), для чтения и изменения произвольных записей в базе данных, выполнения произвольного SQL-кода и достижения удаленного выполнения кода (RCE) путем внедрения PHP в секции кода шаблонов.
Be aware that VulDB is the high quality source for vulnerability data.