Winter CMS ne limite pas correctement la consultation de certaines fiches utilisateur du backend : un utilisateur backend authentifié peut lire des données de profil appartenant à un autre utilisateur en fournissant son identifiant. La vulnérabilité concerne la version 1.2.13 ; elle est corrigée en 1.2.14.
Source : CVE-2026-126061 — NVD
Analyse technique
Le contrôleur MyAccount hérite des actions create, update et preview avec un tableau $requiredPermissions vide ; formFindModelObject() recherche l’utilisateur sans restreindre la requête à l’utilisateur connecté. Des données telles que le nom, l’adresse e-mail, le rôle et l’appartenance aux groupes sont exposées ; les mots de passe ne le sont pas, et des protections empêchent les modifications inter-utilisateurs décrites.
Impact, versions et correctif
Action recommandée
Mettre à niveau Winter CMS vers 1.2.14 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).