Nrawwad

Ocorre cross-site scripting armazenado porque as funções `renderCss()` em `BrandSetting` e `EditorSetting` armazenam a saída bruta do compilador LESS usando `Cache::forever()`. A função `strip tags()` é aplicada apenas aos valores retornados durante um erro de cache (cache miss). Consequentemente, embora a renderização inicial após a gravação do CSS personalizado pareça sanitizada, uma entrada insegura é criada no cache. Os acessos subsequentes ao cache retornam a saída não sanitizada para o elemento de estilo do backend. Isso permite que usuários com permissões `backend.manage branding` ou `backend.manage editor` executem scripts quando páginas do backend, incluindo layouts de login não autenticados, recuperação de senha e redefinição de senha, renderizam os estilos.

Existe um problema onde a função `BackendClassesController::actionExists()` aceita métodos com formato de handler públicos como ações de página. Isso permite que uma requisição GET de nível superior invoque handlers AJAX de backend que alteram o estado sem um token CSRF (Cross-Site Request Forgery). Como as rotas do backend usam `Route::any` e a validação CSRF é ignorada para requisições GET, um invasor não autenticado pode induzir um usuário do backend autorizado a seguir um link malicioso. Isso pode levar a ações destrutivas, como a truncagem de logs, redefinição de configurações, alteração do estado do usuário do backend ou exclusão de templates do CMS. O invasor também pode selecionar registros alvo por meio de segmentos de caminho da URL. O cookie de sessão padrão `SameSite=Lax` facilita isso ao ser enviado durante a navegação entre sites.

O Winter CMS não realiza a codificação HTML do parâmetro de consulta `search` dentro do partial do widget de Tabela do backend localizado em `modules/backend/widgets/table/partials/ table.php`. Como esse valor é emitido dentro de um bloco `<script type="text/template">`, um invasor pode usar uma sequência de fechamento de script em uma URL GET manipulada para encerrar o template e injetar marcações de backend arbitrárias. Este problema afeta qualquer página que renderize um widget Table ou DataTable, incluindo o endpoint core Editor Settings `/backend/system/settings/update/winter/backend/editor`. Um invasor não autenticado pode induzir um usuário do backend autorizado a seguir um link malicioso, executando scripts na origem do backend autenticada da vítima. Isso permite que o invasor leia o token CSRF e realize requisições autenticadas. Para usuários com permissões `backend.manage editor`, como aqueles com a função de Desenvolvedor ou superusuários, isso pode levar à execução de código no servidor através da edição de templates do CMS.

Um usuário autenticado do backend pode causar a divulgação não autorizada de dados de perfil de outros usuários do backend. O controlador `BackendControllersMyAccount` herda ações do `FormController` enquanto declara um array `$requiredPermissions` vazio, e a função `formFindModelObject()` resolve identificadores de registro por meio de uma consulta `BackendModelsUser` não escopada. Isso permite que um invasor solicite identificadores de usuário sequenciais através do endpoint `/backend/backend/myaccount/preview/{other user id}` ou da ação de atualização herdada para ler informações sensíveis, incluindo nome, login, e-mail, avatar, função, associação a grupos, status de superusuário e estado de throttle. Materiais de senha não são expostos, e gravações entre usuários são bloqueadas por guardas de autorização.