Winter CMS CVE-2025-61179 LFI via @import in LESS compiler

漏洞关键信息总结 漏洞概述 标题：LESS 编译后端可定制样式表和主题资源时，通过 指令发生本地文件包含（LFI）漏洞。 CVE 编号：CVE-2025-61179 严重度：4.9 / 10（中危） 弱点类型：CWE-22（路径遍历） 报告者：hyphogen1209（Lo-Security 的 Nguyen Van Hiep） 影响范围 受影响版本： 受影响包： （Composer） 影响描述：拥有相应权限的认证后端用户可读取任意文件。 入口点（均使用 解析 LESS 源）： - Brand Settings（ ，字段 ）：编译进每个后端页面的 块。 - Editor Settings（ ，字段 ）：编译进后端页面的 块。 - Mail Brand Settings（ 的 color-picker 字段）：值拼接进 LESS 源，经 解析，无转义，表单验证器不拒绝任意 指令。 - Theme（ 资产， ）：经 编译，随服务提供，使用相同 配置，允许路径和 遍历逃逸。 可读取内容：Web 根目录下的任意文件，尤其是应用 文件（含 和数据库凭据）。 默认权限：默认分配给内置 Developer 角色。 修复方案 修复版本： （Winter core）和 （Winter Storm）。 根本原因： 集成中， 实例化时未设置安全的 import resolver，且 回退到无候选根路径。 修复方式：为 resolver 添加四个安全 sink，将三个设置源路径限定为允许根目录（ 下打包样式表中的 指令和用户字段， 配置的主题资产编译器中的 、 、 作为允许根），保留打包主题和插件中的相对跨域导入。 临时缓解措施（无法升级时）： - 手动应用 的补丁 和 。 - 从非 root 角色移除 权限，并清空 Brand Settings 和 Editor Settings 字段。 POC / 利用代码 页面中未包含 POC 或利用代码块。 参考 相关但不同的 10 月 October CMS 公告： （主题资产编译器路径）。 相关但不同的 10 月 October CMS 公告： （Brand/Editor/Mail Brand Settings 链接，未被 10 月公告覆盖）。

目標達成すべての支援者に感謝 — 100%達成しました！

Winter CMS CVE-2025-61179 LFI via @import in LESS compiler

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Winter CMS CVE-2025-61179 LFI via @import in LESS compiler

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！