CVE-2026-22254
Açıklama
Winter, Laravel PHP framework tabanlı ücretsiz ve açık kaynaklı bir içerik yönetim sistemidir (CMS). Winter CMS'in 1.2.10 öncesindeki sürümlerinde, CMS Asset Manager erişimi olan kullanıcıların otomatik temizleme işlemi olmadan SVG dosyaları yükleyebildiği tespit edilmiştir. Bu güvenlik açığından aktif olarak yararlanabilmek için saldırganın, Backend kısmına şu izne sahip bir kullanıcı hesabıyla erişmesi gerekir: cms.manage_assets. Winter CMS yöneticileri, cms.manage_assets izninin genel olarak yalnızca güvenilir yöneticilere ve geliştiricilere ayrılmasını şiddetle önermektedir. Bu güvenlik açığı 1.2.10 sürümünde giderilmiştir.
Nasıl düzeltilir
- wintercms winter1.2.10 ya da sonraki bir sürüm
- winter/wn-cms-module1.2.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wintercms winter | v < 1.2.10 | 1.2.10 |
| winter/wn-cms-modulePackagist | v < 1.2.10 | 1.2.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.