CVE-2026-126061

Nome do Software Vulnerável e Versões Afetadas Winter CMS versões 1.2.13 through 1.2.13

Description Um usuário autenticado do backend pode causar a divulgação não autorizada de dados de perfil de outros usuários do backend. O controlador BackendControllersMyAccount herda ações do FormController enquanto declara um array $requiredPermissions vazio, e a função formFindModelObject() resolve identificadores de registro por meio de uma consulta BackendModelsUser não escopada. Isso permite que um invasor solicite identificadores de usuário sequenciais através do endpoint /backend/backend/myaccount/preview/{other user id} ou da ação de atualização herdada para ler informações sensíveis, incluindo nome, login, e-mail, avatar, função, associação a grupos, status de superusuário e estado de throttle. Materiais de senha não são expostos, e gravações entre usuários são bloqueadas por guardas de autorização.

Recommendations Atualize o Winter CMS para a versão 1.2.14. Como solução temporária, adicione protected $guarded = ['create','update','preview']; ao controlador BackendControllersMyAccount e implemente um método formExtendQuery() para restringir as buscas à chave do usuário atual.