CVE-2026-125338

Nome do Software Vulnerável e Versões Afetadas Winter CMS versões anteriores a 1.2.14

Descrição Ocorre cross-site scripting armazenado porque as funções renderCss() em BrandSetting e EditorSetting armazenam a saída bruta do compilador LESS usando Cache::forever(). A função strip tags() é aplicada apenas aos valores retornados durante um erro de cache (cache miss). Consequentemente, embora a renderização inicial após a gravação do CSS personalizado pareça sanitizada, uma entrada insegura é criada no cache. Os acessos subsequentes ao cache retornam a saída não sanitizada para o elemento de estilo do backend. Isso permite que usuários com permissões backend.manage branding ou backend.manage editor executem scripts quando páginas do backend, incluindo layouts de login não autenticados, recuperação de senha e redefinição de senha, renderizam os estilos.

Recomendações Atualize o Winter CMS para a versão 1.2.14.