CVE-2024-54149

Winter, Laravel PHP freymvorkuna əsaslanan pulsuz və açıq mənbəli məzmun idarəetmə sistemidir (CMS). Winter CMS-in 1.2.7, 1.1.11 və 1.0.476 versiyalarından əvvəlki versiyalarında, Twig fayllarını dəyişdirə bilən CMS şablon bölmələrinə giriş imkanı olan istifadəçilər, Twig fayllarına tətbiq edilmiş sandbox-u yan keçə bilir və icazələr vasitəsilə birbaşa giriş təmin edilmədiyi halda belə mövzu fərdiləşdirmə dəyərləri kimi resursları dəyişdirə, yaxud mövzudakı şablonları redaktə edə və ya silə bilirlər. Twig-ə ötürülən bütün obyektlər canlı obyektlərə istinad olduğu üçün, modellər birbaşa Twig-ə ötürüldükdə, atributların dəyişdirilməsi və ya qeydlərin tamamilə silinməsi daxil olmaqla, model məlumatlarını manipulyasiya etmək də mümkündür. Əksər hallarda bu, arzuolunmaz davranışdır və potensial olaraq təhlükəlidir. Bu təhlükəsizlik problemini aktiv şəkildə istismar etmək üçün hücumçu Backend-ə aşağıdakı icazələrdən hər hansı birinə malik istifadəçi hesabı ilə giriş imkanına malik olmalıdır: `cms.manage_layouts`, `cms.manage_pages` və ya `cms.manage_partials`. Winter CMS administratorları bu icazələrin yalnız etibarlı administratorlara və ümumiyyətlə tərtibatçılara verilməsini şiddətlə tövsiyə edirlər. Winter CMS tərtibatçıları 1.2.7, 1.1.11 və 1.0.476 versiyalarında sandbox-un əhatə dairəsini əhəmiyyətli dərəcədə genişləndirmiş və Twig-də bütün modelləri və məlumat mənbələrini effektiv şəkildə yalnız oxunaqlı etmişlər. Yeniləmə edə bilməyənlər problemi həll etmək üçün fb88e6fabde3b3278ce1844e581c87dcf7daee22 commit-ini öz Winter CMS quraşdırmalarına əllə tətbiq edə bilərlər. Nadir hallarda, əgər Winter istifadəçisi Twig şablonları daxilində modellərə/məlumat mənbələrinə yazı yazma imkanından asılıdırsa, onlar modellərdə dəyişiklik etmək üçün komponentlərdən istifadə etməli və ya yaratmalıdırlar.