O widget Filtro Backend (`Backend\ Widgets\Filter`) é vulnerável à injeção SQL através do tipo de escopo `numberrange` quando o escopo é configurado com uma chave `condições`. Um usuário de backend autenticado com acesso a uma lista de visualização contendo um escopo de filtro vulnerável pode injetar o SQL arbitrário através do manipulador AJAX do filtro, potencialmente obtendo acesso de leitura ao conteúdo completo do banco de dados. Para explorar isto, um atacante deve ter uma conta backend válida com acesso a uma lista de visualização onde um plug- in de terceiros tenha registrado um escopo de filtro `numberrange` usando a chave de configuração `conditions`. Nenhuma visualização integrada do backend CMS de Inverno usa este tipo de escopo e combinação de configuração, por isso uma instalação de baunilha sem plug- ins não é explorável. Este problema foi corrigido no Winter CMS v 1.2.13.
Se os usuários não puderem atualizar, eles podem aplicar commit commit/ 50713 de 95 Adf 5298536 d 93 f 4 d 999652525 d 36 d 43 para sua instalação CMS de Inverno manualmente para resolver este problema. Registro de aconselhamento: GHSA- m 7 jc- g 4 rc- jmvh. Identificadores relacionados: CVE- 2026 - 32593. Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 12 T 14: 41: 13.000 Z e lista a sua última modificação como 2026 - 08 - 12 T 14: 41: 13.000 Z.
Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N. Software afetado e informações de versão: pacote Packagist inverno/módulo-wn-backend — ECOSISTEM: introduzido 0, corrigido 1.2.13. Classificação e evidência: identificadores de fraqueza CWE- 89. O registro contém 3 suporte de referências nestes tipos: WEB, PACKAGE.