Veille sécuritéBackend & données
P4Moyenne
Winter CMS présente une XSS stockée dans le rendu du CSS personnalisé : après mise en cache, une sortie LESS non assainie peut être injectée dans les pages d’administration. Les versions antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.
PHP
IdentifiantCVE-2026-125338
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.2.14
Source : CVE-2026-125338 — NVD
Analyse technique
BrandSetting::renderCss() et EditorSetting::renderCss() mettent en cache la sortie LESS brute ; strip_tags() n’est appliqué qu’à la valeur renvoyée lors d’un cache miss. Un utilisateur disposant de backend.manage_branding ou backend.manage_editor peut provoquer l’injection, ensuite rendue dans le backend.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-10, dans la période demandée ; la fiche décrit une vulnérabilité et son correctif, et non une simple modification administrative.
ImpactExécution de script dans le contexte des pages backend affichant les styles concernés ; un utilisateur autorisé à gérer le branding ou l’éditeur peut déclencher le stockage de la charge.
Versions affectéesWinter CMS antérieur à 1.2.14
Version corrigée1.2.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.5
Publication2026-11-10T20:19:08.263Z
Mise à jour2026-11-10T20:19:08.263Z
Action recommandée
Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).