CVE-2026-32639

Winter CMS, Laravel PHP framework'ü üzerine inşa edilmiş bir içerik yönetim sistemidir. 1.2.12 dahil olmak üzere bu sürüme kadar olan sürümlerde, CMS bölümünün Theme Editor AJAX işleyicileri şablon türü başına izin kontrollerini uygulamıyordu ve bu da herhangi bir tek CMS iznine sahip bir arka uç kullanıcısının yetkili kapsamı dışındaki şablon türleri üzerinde işlem yapmasına olanak tanıyordu. CMS denetleyicisi, bölüme erişimi beş izni üzerinde OR mantığı kullanarak bir bütün olarak kapılıyordu, ancak onSave(), onDelete() ve onDeleteTemplates() gibi bireysel işleyiciler kullanıcının istenen şablon türü için belirli izne sahip olduğunu doğrulamıyordu, bu nedenle yalnızca cms.manage_pages iznine sahip bir kullanıcı düzenleri silmek, kısmi dosyaları değiştirmek veya içerik dosyalarını okumak için AJAX istekleri oluşturabiliyordu. Ayrıca, AssetList widget'ı cms.manage_assets izninden bağımsız olarak denetleyici kapısını geçen herhangi bir kullanıcı için kaydediliyordu ve onUpload() işleyicisi diğer değiştirici işleyicilerde bulunan tema doğrulama çağrısını atlıyordu ve etkin temanın varlık dizinine yetkisiz dosya yüklemelerine izin veriyordu. İstismar, CMS Theme Editor izinlerinden en az birine sahip kimliği doğrulanmış bir arka uç hesabı gerektirir. Bu sorun 1.2.13 sürümünde düzeltilmiştir.