Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Edito CMS i koordynował proces ujawniania informacji.

Podatność CVE-2026-59074: Edito CMS nieprawidłowo weryfikuje podpis kryptograficzny w logice odświeżania tokenów JWT. Uwierzytelniony użytkownik o niskich uprawnieniach może przesłać spreparowany token JWT zawierający identyfikator istniejącego użytkownika i, z uwagi na brak walidacji podpisu, uzyskać prawidłowy, w pełni podpisany token sesji dla dowolnego konta w systemie. Umożliwia to atakującemu podszycie się pod dowolnego użytkownika, w tym administratora.

Podatność CVE-2026-59075: Edito CMS jest podatny na ataki typu Dynamic LINQ injection. W wyniku nieprawidłowej walidacji danych wejściowych, uwierzytelniony atakujący może wstrzyknąć wyrażenia warunkowe do parametru sort endpointów administracyjnych obsługujących stronicowanie. Analiza kolejności zwracanych wyników umożliwia atakującemu wyodrębnienie wartości dowolnego pola znak po znaku, co może prowadzić do ujawnienia poufnych danych.

Podatność CVE-2026-59076: Edito CMS jest podatny na ataki typu Stored XSS. W wyniku nieprawidłowej walidacji danych wejściowych uwierzytelniony atakujący może wstrzyknąć złośliwe skrypty do parametrów givenName i surname poprzez endpoint /api/auth/profile. Gdy administrator wyświetla dziennik zmian w panelu administracyjnym, wstrzyknięty skrypt jest automatycznie wykonywany w jego przeglądarce.

Podatność CVE-2026-59077: Edito CMS jest podatny na ataki typu Stored XSS poprzez parametr content w funkcjonalności edytora Tiny. Uwierzytelniony atakujący może wstrzyknąć dowolny kod HTML i JS na stronę internetową, który zostanie wykonany, gdy użytkownik spróbuje edytować zmieniony wpis.

Podatność CVE-2026-59078: Edito CMS jest podatny na ataki typu Stored XSS w funkcjonalności przesyłania awatarów. Uwierzytelniony atakujący może wstrzyknąć dowolny kod HTML i JS na stronę internetową, który zostanie wykonany podczas odwiedzania adresu URL prowadzącego do edytowanego awatara.

Podatność CVE-2026-59079: Edito CMS ogranicza możliwość przesyłania plików za pośrednictwem interfejsu użytkownika do określonych typów plików. Funkcjonalność przesyłania awatarów umożliwia jednak atakującemu przesyłanie plików dowolnego typu i rozszerzenia bez żadnych ograniczeń.

Podatność CVE-2026-59081: Edito CMS deserializuje dane JSON bez dodatkowej weryfikacji. Użytkownik (nawet administrator) nie może wykorzystać tej podatności poprzez standardową funkcjonalność aplikacji. Atakujący, który ma możliwość modyfikowania wpisów w pamięci podręcznej lub ich wstrzykiwania, może wykonać kod na serwerze.

Te problemy zostały naprawione w wersji 5.10.2607. Dla starszych wersji (5.8) również wydano poprawki (hotfixy).

Podatność CVE-2026-59080: Edito CMS przesyła token JWT w żądaniach GET. Umożliwia to lokalnemu atakującemu, który ma dostęp do historii przeglądarki, uzyskanie prawidłowego tokenu JWT i wykonanie działań w imieniu ofiary. Token jest ważny jedynie przez krótki okres; po jego upływie wygasa i nie może być już wykorzystany.

Producent ocenił prawdopodobieństwo wykorzystania tej podatności jako bardzo niskie i uznał, że poprawka nie jest konieczna.

Podziękowania

Za zgłoszenie podatności dziękujemy Michałowi Majchrowiczowi, Dawidowi Małeckiemu oraz ​Pawłowi Zdunkowi z zespołu AFINE.