CVE-2026-32593

Winter CMS, Laravel PHP freymvorku əsasında qurulmuş məzmun idarəetmə sistemidir. 1.2.12 versiyadək olan versiyalarda, backend Filter vidceti, numberrange scope tipi conditions açarı ilə konfiqurasiya edildikdə SQL inyeksiyasına qarşı həssasdır və bu, autentifikasiya olunmuş backend istifadəçisinə ixtiyari SQL sorğuları yeritməyə imkan verir. Scope-un filtr dəyərləri parametr bağlaması olmadan conditions ifadəsinə daxil edilir, buna görə də filtri bu scope və konfiqurasiyadan istifadə edən siyahı görünüşünə çıxışı olan istifadəçi, filtrin AJAX handler-i vasitəsilə xüsusi hazırlanmış giriş təmin edərək verilənlər bazasının ixtiyari məzmunlarını oxuya bilər. Daxili Winter CMS backend görünüşlərinin heç biri bu scope tipi və konfiqurasiya kombinasiyasından istifadə etmir, buna görə də boşluğun istismarı üçün üçüncü tərəf plagininin conditions açarı ilə numberrange filtr scope-unu qeydiyyatdan keçirməsi tələb olunur və belə plaginləri olmayan standart quraşdırma təsirlənmir. Bu problem 1.2.13 versiyasında düzəldilmişdir.