CVE-2026-125339

Nome do Software Vulnerável e Versões Afetadas Winter CMS versões 1.0.319 through 1.2.13

Description Existe um problema onde a função BackendClassesController::actionExists() aceita métodos com formato de handler públicos como ações de página. Isso permite que uma requisição GET de nível superior invoque handlers AJAX de backend que alteram o estado sem um token CSRF (Cross-Site Request Forgery). Como as rotas do backend usam Route::any e a validação CSRF é ignorada para requisições GET, um invasor não autenticado pode induzir um usuário do backend autorizado a seguir um link malicioso. Isso pode levar a ações destrutivas, como a truncagem de logs, redefinição de configurações, alteração do estado do usuário do backend ou exclusão de templates do CMS. O invasor também pode selecionar registros alvo por meio de segmentos de caminho da URL. O cookie de sessão padrão SameSite=Lax facilita isso ao ser enviado durante a navegação entre sites.

Recommendations Atualize para a versão 1.2.14. Como mitigação provisória, defina 'same site' => 'strict' em config/session.php para evitar que os cookies de sessão sejam enviados durante a navegação de nível superior entre sites.