Winter CMS: Fehlende Autorisierung in den AJAX-Handlern von ImportExportController
Zusammenfassung
Winter CMS, ein auf dem Laravel-Framework basierendes Content-Management-System, erlaubt es Backend-Benutzern, die granularen Import- und Exportberechtigungen im ImportExportController-Verhalten zu umgehen. Ein authentifizierter Backend-Benutzer mit allgemeinem Zugriff auf einen Controller, aber ohne die konfigurierten Import- oder Exportberechtigungen, kann Import-Handler aufrufen, um Datensätze zu schreiben oder zu überschreiben, sowie den vollständigen Datenbestand exportieren und herunterladen. Controller ohne granulare Berechtigungsschlüssel sind nicht betroffen.
Betroffen
- Winter CMS (winter/wn-backend-module) vor 1.2.14
- Der betroffene Versionsbereich ist zwischen den Quellen umstritten (einige nennen ab 1.0.0 oder 1.2.0); alle Versionen unterhalb von 1.2.14 als betroffen behandeln
- Nur Controller, die import[permissions] oder export[permissions] konfigurieren
Behoben in
- Version 1.2.14 (granulare Import- und Exportberechtigungsprüfungen werden bei allen betroffenen Handlern und Aktionen durchgesetzt)
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Übergangsmassnahme: Prüfen, welche Backend-Rollen Controller mit Import- oder Export-Berechtigungen erreichen, und nicht benötigte Zugriffe entfernen, bis das Update abgeschlossen ist.
Ausnutzung
- Erfordert ein gültiges Backend-Konto mit aktiver Sitzung; nicht unauthentifiziert.
- OffSeq führt die Schwachstelle per 10. November 2026 als nicht bekanntermassen ausgenutzt.
- Kein öffentlicher Proof of Concept gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Unbekannt, ob der CISA-KEV-Katalog die Schwachstelle enthält; manuell prüfen.
Unsere Empfehlung
- Winter CMS auf Version 1.2.14 oder neuer aktualisieren; dieselbe Version behebt auch CVE-2026-125338, CVE-2026-125339 und CVE-2026-126061.
- Backend-Benutzerrollen überprüfen und nicht benötigte Zugriffe auf Controller mit Import- oder Export-Berechtigungen entfernen.
- Prüfen, ob Backends aus dem Internet erreichbar sind, und den Zugriff auf die /backend-Anmeldung wo möglich einschränken.
- Backend-Protokolle auf ungewöhnliche Import-, Export- oder Download-Aktivitäten überwachen.
- Den CVSS-Wert überprüfen, da die Quellen abweichen (CNA 8.3, Mend 5.4).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fm29-4mq3-phg6 github.com
- Fix commit 84c81f1 github.com
- Winter CMS v1.2.14 release github.com
- OSV GHSA-fm29-4mq3-phg6 osv.dev
- GitLab advisory GHSA-fm29-4mq3-phg6 advisories.gitlab.com
- CVE record summary (threatint) cve.threatint.com
- OffSeq threat radar CVE-2026-125337 radar.offseq.com
- Mend advisory MEND:WS-2026-0042 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.