Dans Winter CMS, des méthodes de gestion backend accessibles comme actions GET peuvent déclencher des opérations sensibles sans jeton CSRF, si un utilisateur autorisé est amené à suivre un lien forgé. Les versions de 1.0.319 à celles antérieures à 1.2.14 sont concernées ; mettre à niveau vers 1.2.14.
Source : CVE-2026-125339 — NVD
Analyse technique
Controller::actionExists() accepte des méthodes publiques ayant la forme de handlers comme actions de page. Les routes backend acceptant GET contournent alors la validation CSRF ; selon le handler invoqué, l’impact peut inclure la suppression de journaux ou de modèles CMS et la modification de paramètres ou d’utilisateurs backend.
Impact, versions et correctif
Action recommandée
Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).