CVE-2026-126061

اسم البرنامج المصاب والإصدارات المتأثرة Winter CMS الإصدارات من 1.2.13 إلى 1.2.13

Description يمكن لمستخدم لوحة التحكم (backend) المصرح له التسبب في الكشف غير المصرح به عن بيانات ملفات تعريف مستخدمين آخرين في لوحة التحكم. يرث المتحكم BackendControllersMyAccount إجراءات من FormController بينما يعلن عن مصفوفة $requiredPermissions فارغة، وتقوم الدالة formFindModelObject() بتحليل معرفات السجلات من خلال استعلام BackendModelsUser غير محدد النطاق. يسمح هذا للمهاجم بطلب معرفات مستخدمين متسلسلة عبر نقطة النهاية /backend/backend/myaccount/preview/{other user id} أو إجراء التحديث الموروث لقراءة معلومات حساسة، بما في ذلك الاسم، واسم تسجيل الدخول، والبريد الإلكتروني، والصورة الرمزية، والدور، وعضوية المجموعة، وحالة المستخدم الخارق (superuser)، وحالة التقييد (throttle state). لا يتم الكشف عن بيانات كلمة المرور، ويتم حظر عمليات الكتابة بين المستخدمين بواسطة حراس التفويض.

Recommendations تحديث Winter CMS إلى الإصدار 1.2.14. كإجراء مؤقت، قم بإضافة protected $guarded = ['create','update','preview']; إلى المتحكم BackendControllersMyAccount وتنفيذ دالة formExtendQuery() لتقييد عمليات البحث بمفتاح المستخدم الحالي.