CVE-2026-54256

Winter CMS Laravel PHP freymvorku üzərində qurulmuş məzmun idarəetmə sistemidir. 1.2.12 versiyası da daxil olmaqla, backend FileUpload form vidceti əməliyyat etdiyi qoşmanı təyin edərkən hücumçu tərəfindən idarə olunan file_id POST parametrinə etibar edirdi və bu, autentifikasiyadan keçmiş backend istifadəçisinə digər istifadəçilərə və ya qeydlərə aid qoşma qeydlərini oxumağa və dəyişdirməyə imkan verirdi. Vidcetin getFileRecord() axtarışı göndərilən id-ni qlobal system_files cədvəli üzrə həll edirdi, faylın vidcetin öz əlaqəsinə, valideyn qeydinə və ya təxirə salınmış bağlama sessiyasına aid olduğunu yoxlamadan. Bütün qoşmalar vahid File modelini və cədvəlini paylaşdığından və qoşma id-ləri asanlıqla sadalanan ardıcıl tam ədədlər olduğundan, fileupload sahəsi olan hər hansı formaya çatan, o cümlədən heç bir xüsusi icazə tələb etməyən daxili My Account avatar sahəsinə çatan istifadəçi ixtiyari qoşmaları hədəf alaraq onların başlığını və təsvirini onSaveAttachmentConfig vasitəsilə dəyişdirə və onSortAttachments vasitəsilə çeşidləmə sırasını dəyişə bilərdi; bu funksiyalar göndərilən id-ləri birbaşa əhatəsiz yeniləməyə ötürürdü. CSRF tokenləri qüvvədə qalır, buna görə istismar hər hansı səviyyədə girişi olan etibarlı autentifikasiya edilmiş backend sessiyası tələb edir. Bu problem 1.2.13 versiyasında düzəldilmişdir.