Winter CMS : XSS réfléchie via le paramètre de recherche du widget Table

Veille sécuritéBackend & données

P4Moyenne

Winter CMS ne neutralise pas une valeur de recherche avant de l’insérer dans un template script d’un widget Table ; une URL GET construite à cette fin peut déclencher une XSS dans le backend lorsqu’un utilisateur autorisé la consulte. Les versions de 1.0.420 à celles antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.

IdentifiantCVE-2026-125340

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.2.14

Source : CVE-2026-125340 — NVD

Analyse technique

Le paramètre de recherche est émis sans encodage HTML dans le partial du widget Table, y compris lorsque la recherche est désactivée. Le script exécuté dans l’origine backend peut utiliser les permissions de la victime ; l’escalade vers l’exécution de code serveur décrite pour le parcours Editor Settings dépend des permissions détenues par celle-ci.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-11-10, dans la période demandée ; le contenu décrit une vulnérabilité et son correctif.

ImpactExécution de script dans l’origine backend et actions possibles avec les permissions de l’utilisateur victime.

Versions affectéesWinter CMS depuis 1.0.420 et avant 1.2.14

Version corrigée1.2.14

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.5

Publication2026-11-10T20:19:08.557Z

Mise à jour2026-11-10T20:19:08.557Z

Action recommandée

Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.

Sources

CVE-2026-125340 — NVD

Priorisation DFS : P4 · 1 source(s).