CVE-2026-32639
Publiée le 2026-08-26 · Dernière modification le 2026-08-29
Les versions 1.2.12 et antérieures de Winter CMS contiennent un contournement de permissions dans l'éditeur de thèmes qui permet aux utilisateurs du backend de dépasser leurs privilèges assignés. Un attaquant disposant d'une seule permission CMS peut envoyer des requêtes AJAX spécifiquement formulées pour supprimer des mises en page, modifier des partiels ou télécharger des fichiers non autorisés dans le répertoire des ressources du thème actif. Cela nécessite un compte authentifié avec un accès backend de haut niveau, mais peut être exécuté via le réseau sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Winter CMS is a content management system built on the Laravel PHP framework. In versions up to and including 1.2.12, the CMS section's Theme Editor AJAX handlers did not enforce per-template-type permission checks, allowing a backend user with any single CMS permission to act on template types outside their authorized scope. The CMS controller gated access to the section as a whole using OR-logic across its five permissions, but individual handlers such as onSave(), onDelete(), and onDeleteTemplates() did not verify that the user held the specific permission for the requested template type, so a user with only cms.manage_pages could craft AJAX requests to delete layouts, modify partials, or read content files. Separately, the AssetList widget was registered for any user who passed the controller gate regardless of the cms.manage_assets permission, and its onUpload() handler omitted the theme-validation call present on the other mutating handlers, permitting unauthorized file uploads into the active theme's asset directory. Exploitation requires an authenticated backend account holding at least one of the CMS Theme Editor permissions. This issue is fixed in version 1.2.13.