Winter CMS: Reflected XSS im Backend-Table-Widget über den Suchparameter

Zusammenfassung

Winter CMS, ein auf dem Laravel-Framework basierendes Content-Management-System, kodiert den Suchparameter im Partial des Backend-Table-Widgets nicht HTML-konform. Eine präparierte URL mit einer Script-Schliessungssequenz bricht aus einem Script-Template aus und schleust Markup in die Backend-Seite eines berechtigten Benutzers ein. Ein Angreifer kann danach Skripte in der Backend-Sitzung des Opfers ausführen, das CSRF-Token auslesen und mit den Berechtigungen des Opfers handeln; bei der Seite Editor-Einstellungen kann ein Opfer mit backend.manage_editor zudem für eine Kette zur serverseitigen Codeausführung genutzt werden. Voraussetzung ist, dass ein berechtigter Backend-Benutzer einen präparierten Link öffnet.

Betroffen

• Winter CMS Versionen 1.0.420 bis vor 1.2.14
• Alle Table- und DataTable-Seiten im Backend sind betroffen, einschliesslich /backend/system/settings/update/winter/backend/editor

Behoben in

• Behoben in Winter CMS 1.2.14

Umgehung

• Unbekannt. Der Hersteller stellt keine dokumentierte Massnahme bereit; das Aktualisieren auf 1.2.14 ist die Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche sind keine Hinweise auf eine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Winter CMS im nächsten Wartungsfenster auf Version 1.2.14 oder neuer aktualisieren; zuerst Backends mit Internetzugang priorisieren.
• Die Berechtigungen backend.manage_editor und andere administrative Rechte auf vertrauenswürdige Benutzer beschränken.
• Backend-Benutzer anweisen, im Backend angemeldet keine unbekannten Links zu öffnen.
• Den Backend-Zugriff wo möglich einschränken, etwa per IP-Allowlist oder VPN.
• Backend-Benutzerkonten prüfen und auf unerwartete Template- oder Berechtigungsänderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-hq84-x37p-j6q5 github.com
• Winter CMS Release v1.2.14 github.com
• Fix commit 1b63976 github.com
• CVE Record CVE-2026-125340 www.cve.org
• OpenCVE CVE-2026-125340 app.opencve.io
• OSV GHSA-hq84-x37p-j6q5 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:11.