CVE-2026-125340— Winter CMS 后台表格组件搜索参数反射式 XSS 漏洞
一分钟漏洞结论
影响对象
wintercms winter
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Winter CMS 是一个基于 Laravel PHP 框架构建的内容管理系统。在版本 1.0.420 至 1.2.14 期间，其后台的 Table 组件部分文件 会在脚本模板中输出搜索查询参数，且未进行 HTML 编码。攻击者可构造一个包含脚本结束序列的顶层 GET URL，从而终止原始文本模板，导致后续输入被解析为后台标记，即使该组件启用了 配置。任何包含 Table 或 DataTable 的页面均可作为攻击入口（sink），包括核心编辑器设置路由 。未认证的攻击者可以诱导已授权的后台用户访问该恶意链接。在
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-125340 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Winter CMS: Reflected XSS through the search query parameter in the backend Table widget
来源: CVE Program / CVE List V5
Vulnerability Description
Winter CMS is a content management system built on the Laravel PHP framework. From 1.0.420 until 1.2.14, the backend Table widget partial modules/backend/widgets/table/partials/_table.php emits the search query parameter without HTML encoding inside a script template. A script-closing sequence in a crafted top-level GET URL terminates the raw-text template and causes the remaining input to be parsed as backend markup, even when the widget uses searching: false. Any Table or DataTable page is a sink, including the core Editor Settings route /backend/system/settings/update/winter/backend/editor, and an unauthenticated attacker can induce an authorized backend user to follow the link. Script executing in the victim's backend origin can read the CSRF token and issue credentialed requests with that user's permissions. For the core sink, a victim with backend.manage_editor, normally a Developer-role user or superuser, can edit CMS templates, so the injected script can conditionally chain to server-side code execution; this does not grant permissions the victim lacks and does not apply automatically to every third-party plugin sink. This issue is fixed in version 1.2.14.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-125340 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-125340 的情报信息
请登录查看更多情报信息。
CVE-2026-125340 其他参考 (3)
-
https://github.com/wintercms/winter/releases/tag/v1.2.14 x_refsource_MISC
-
https://github.com/wintercms/winter/security/advisories/GHSA-hq84-x37p-j6q5 x_refsource_CONFIRM
同批安全公告 · wintercms · 2026-11-10 · 共 6 条
| CVE-2026-125337 | 8.3 HIGH | Winter CMS 导入/导出权限绕过漏洞 |
| CVE-2026-125339 | 6.1 MEDIUM | Winter CMS 后台 AJAX 处理 CSRF 漏洞 |
| CVE-2026-125338 | 4.5 MEDIUM | Winter CMS 缓存样式存储跨站脚本漏洞 |
| CVE-2026-126061 | 4.3 MEDIUM | Winter CMS 账户预览后台用户资料泄露漏洞 |
| CVE-2026-125341 | 2.0 LOW | Winter CMS 后台列表组件存储型跨站脚本漏洞 |