CVE-2026-63179

Nome do Software Vulnerável e Versões Afetadas Winter CMS versões anteriores a 1.2.13

Descrição Usuários autenticados do backend podem expor arquivos arbitrários legíveis pelo processo PHP ao injetar diretivas @import (inline) no código LESS que o backend compila. Isso ocorre porque o analisador LESS foi instanciado sem um resolvedor de importação seguro, permitindo caminhos absolutos e travessia de diretório via .. para acessar arquivos fora do diretório pretendido, como o arquivo .env contendo a APP KEY e credenciais do banco de dados. O problema é acessível através de quatro pontos de entrada:

A exploração requer uma conta de backend com permissões específicas, que são atribuídas por padrão à função de Desenvolvedor (Developer).

Recomendações Atualize o Winter CMS para a versão 1.2.13. Como mitigação temporária, remova a permissão cms.manage assets de qualquer função não confiável e limpe todos os valores dos campos custom css das Configurações de Marca e html custom styles das Configurações do Editor.