CVE-2026-27591

概要

Laravel PHP フレームワーク ベース の CMS で ある Winter CMS に、不適切 な アクセス制御（CWE-284）、ユーザー 制御 可能 な キー に よる 認可 バイパス（CWE-639）、および マスアサインメント（CWE-915）の 複合的 な 脆弱性 が 発見 されました。

認証 済み の バックエンド ユーザー が 特別 に 細工 された リクエスト を 送信 する こと で、自身 の ロール や 権限 を 変更 し、権限昇格 が 可能 と なります。CVSS スコア は 9.9（Critical）と 極めて 高く 評価 されて います。

バックエンド へ の アクセス 権限 を 持つ ユーザー が 攻撃者 と なり 得る ため、多数 の 管理者 が 存在 する 環境 で は 特に 注意 が 必要 です。Winter CMS を 利用 して いる 場合 は、修正 バージョン へ の アップデート を 速やか に 実施 して ください。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 修正バージョン: Winter CMS 1.0.477, 1.1.12, 1.2.12
• 暫定回避策: バックエンド ユーザー の アカウント を 必要 最小限 に 制限 し、不要 な 管理者 アカウント を 無効化 して ください。リクエスト の 監視 に よる 異常 検知 も 有効 です
• 補足: Laravel の マスアサインメント 保護 を 適切 に 設定 して いない 場合、同様 の 問題 が 他 の Laravel ベース アプリケーション でも 発生 する 可能性 が あります

関連リンク

• GitHub Security Advisory (GHSA-pgpf-m8m4-6cg6)
• NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。