CVE-2026-54256— Winter 文件上传组件跨用户数据越权访问漏洞
一分钟漏洞结论
影响对象
wintercms winter
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Winter CMS 是基于 Laravel PHP 框架构建的内容管理系统。在版本 1.2.12 及更早的版本中，后台的文件上传（FileUpload）表单控件在解析其操作的附件时，信任了由攻击者控制的 POST 参数。这使得拥有合法登录的后台用户能够读取和修改属于其他用户或记录的附件。 该控件的 查询在未验证该文件是否归属于控件自身的关系、父级记录或延迟绑定会话的情况下，将提交的 ID 与全局的 表进行匹配。由于所有附件共享同一个 File 模型和表，且附件 ID 为连续整数，易于枚举，因此任何能够访问包含 f
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-54256 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Winter: Authenticated IDOR in backend FileUpload widget allows cross-user access to attachment metadata
来源: CVE Program / CVE List V5
Vulnerability Description
Winter CMS is a content management system built on the Laravel PHP framework. In versions up to and including 1.2.12, the backend FileUpload form widget trusted an attacker-controlled file_id POST parameter when resolving the attachment it operates on, allowing an authenticated backend user to read and modify attachment records belonging to other users or records. The widget's getFileRecord() lookup resolved the posted id against the global system_files table without verifying that the file belonged to the widget's own relation, parent record, or deferred-binding session. Because all attachments share a single File model and table and attachment ids are sequential integers that are easily enumerated, a user reaching any form with a fileupload field, including the built-in My Account avatar field that requires no specific permission, could target arbitrary attachments to modify their title and description via onSaveAttachmentConfig and change their sort order via onSortAttachments, which passed posted ids straight to an unscoped update. CSRF tokens remain enforced, so exploitation requires a valid authenticated backend session with any level of access. This issue is fixed in version 1.2.13.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
访问控制不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-54256 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-54256 的情报信息
请登录查看更多情报信息。
CVE-2026-54256 补丁与修复 (1)
CVE-2026-54256 厂商安全公告 (1)
同批安全公告 · wintercms · 2026-08-26 · 共 7 条
| CVE-2026-32257 | 8.1 HIGH | Winter CMS 存储型跨站脚本漏洞 |
| CVE-2026-32258 | 8.1 HIGH | Winter CMS 存储型跨站脚本漏洞 |
| CVE-2026-35445 | 7.1 HIGH | Winter 已认证用户控制器权限绕过漏洞 |
| CVE-2026-32639 | 6.8 MEDIUM | Winter CMS 访问控制缺陷导致越权操作 |
| CVE-2026-32593 | 5.9 MEDIUM | Winter 后端筛选组件 SQL注入 |
| CVE-2026-63179 | 4.9 MEDIUM | Winter 2.1.x 本地文件包含漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-54256
暂无评论