Opis podatności

CERT Polska otrzymał zgłoszenie dotyczące podatności w oprogramowaniu WidzialniCMS i uczestniczył w koordynacji ich ujawnienia.

Podatność CVE-2026-110468: Oprogramowanie WidzialniCMS nie implementuje ograniczeń w przy przesyłaniu plików w endpoincie /panel/controllers/save_photo.php. Ze względu na kontrolowany po stronie klienta parametr sprawdzania uprawnień oraz niewystarczającą walidację parametru currentpath, nieuwierzytelniony atakujący może przesyłać dowolne pliki do dowolnych lokalizacji na serwerze. Takie zachowanie może prowadzić do zdalnego wykonania kodu.

Podatność CVE-2026-110469: Oprogramowanie WidzialniCMS nie implementuje ograniczeń przy przesyłaniu plików w endpoincie /panel/upload.php. Ze względu na parametr kontroli uprawnień weryfikowany po stronie klienta oraz niewystarczającą walidację parametru uploadPath, nieuwierzytelniony atakujący może przesyłać dowolne pliki do dowolnych lokalizacji na serwerze. Takie zachowanie może prowadzić do zdalnego wykonania kodu.

Podatność CVE-2026-112204: Oprogramowanie WidzialniCMS jest podatne na Reflected XSS w endpoincie /index.php. Atakujący może przygotować adres URL, którego otwarcie skutkuje wykonaniem dowolnego kodu JavaScript w przeglądarce ofiary, co umożliwia np. kradzież ciasteczka sesji.

Podatność CVE-2026-112205: Oprogramowanie WidzialniCMS jest podatne na ominięcie zabezpieczeń przed atakami bruteforce w funkcjonalności logowania. Blokada oparta na plikach cookie może zostać ominięta poprzez nieprzesyłanie plików cookie login_count i login_timeout, co umożliwia nieuwierzytelnionemu atakującemu wykonanie nieograniczonej liczby prób logowania.

Te podatności zostały poprawione w wersji 2.5.

Podziękowania

Za zgłoszenie podatności dziękujemy Kamilowi Szczurowskiemu i Robertowi Kruczkowi (CVE-2026-110468 i CVE-2026-110469) oraz Mikołajowi Matuszewskiemu z zespołu CERT.PL (CVE-2026-112204 i CVE-2026-112205).