Winter CMS: Cross-Site Request Forgery über AJAX-Handler als Seitenaktionen

Zusammenfassung

Winter CMS akzeptiert bestimmte öffentliche AJAX-Handler-Methoden als Seitenaktionen im Backend, sodass eine einfache GET-Anfrage zustandsverändernde Backend-Funktionen ohne CSRF-Token ausführen kann. Ein Angreifer kann einen angemeldeten Backend-Benutzer dazu bringen, einen präparierten Link zu öffnen, wodurch Logs geleert, Einstellungen zurückgesetzt, Backend-Benutzerzustände verändert oder CMS-Templates gelöscht werden können. Der Angreifer benötigt kein Konto, der Angriff setzt jedoch eine Interaktion durch einen Benutzer und eine autorisierte Backend-Sitzung voraus.

Betroffen

• Winter CMS (winter/wn-backend-module) ab 1.0.319 bis und mit Version 1.2.13, also vor 1.2.14

Behoben in

• Behoben in Version 1.2.14

Umgehung

• Falls ein Upgrade nicht möglich ist, den Fix-Commit 353b23804dee2acf49fca996c72637040446824f manuell anwenden (gemäss Spiegel des Advisories)
• Weitere Massnahmen sind nicht bekannt.

Ausnutzung

• Keine bekannte Ausnutzung in den geprüften Quellen.
• Ein Drittanbieter-Bericht mit technischen Details ist öffentlich verfügbar.
• Der Status im CISA-KEV-Katalog wurde nicht verifiziert.

Unsere Empfehlung

• Upgrade auf Winter CMS 1.2.14 oder neuer im normalen Change-Prozess durchführen.
• Vor dem Upgrade eigene Plugins testen: Öffentliche Controller-Methoden, die als Seitenaktionen verwendet werden, müssen nun kleingeschrieben sein, und URLs mit Bindestrichen werden zu snake_case normalisiert.
• Falls ein Upgrade nicht möglich ist, den Fix-Commit manuell anwenden.
• Sicherstellen, dass Backend-Benutzer sich abmelden oder beim angemeldeten Zustand keine unbekannten Links öffnen.
• Backend-Ereignisprotokolle und CMS-Templates auf unerwartete Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-125339 www.cve.org
• Winter CMS security advisory GHSA-p2ch-c2c3-4xm5 github.com
• Winter CMS fix commit 353b238 github.com
• Winter CMS release v1.2.14 github.com
• OSV GHSA-p2ch-c2c3-4xm5 osv.dev
• CVE Reports write-up GHSA-p2ch-c2c3-4xm5 cvereports.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:15.