CERT Polska opisał cztery podatności w WidzialniCMS, poprawka jest w wersji 2.5
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska uczestniczył w koordynacji ujawnienia czterech podatności w WidzialniCMS Fundacji Widzialni. Dotyczą wszystkich wersji przed 2.5 i obejmują przesyłanie dowolnych plików, XSS oraz ominięcie blokady prób logowania.
9 listopada 2026 r. CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował komunikat o czterech podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w oprogramowaniu WidzialniCMS, którego producentem jest Fundacja Widzialni. Podatne są wszystkie wersje przed 2.5. CERT Polska uczestniczył w koordynacji ujawnienia tych podatności.
Dwie z nich dotyczą przesyłania plików i mają ten sam typ (CWE-434). W CVE-2026-110468 problem leży w endpoincie /panel/controllers/save_photo.php, w CVE-2026-110469 w endpoincie /panel/upload.php. Według komunikatu uprawnienia są sprawdzane parametrem kontrolowanym po stronie klienta, a parametry currentpath i uploadPath nie są dostatecznie walidowane. Nieuwierzytelniony atakujący może przez to przesyłać dowolne pliki do dowolnych lokalizacji na serwerze, co może prowadzić do zdalnego wykonania kodu.
Trzecia podatność, CVE-2026-112204, to Reflected XSSXSS Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji. w endpoincie /index.php. Atakujący może przygotować adres URL, którego otwarcie wykonuje dowolny kod JavaScript w przeglądarce ofiary, co umożliwia na przykład kradzież ciasteczka sesji. Czwarta, CVE-2026-112205, pozwala ominąć zabezpieczenie przed atakami bruteforce przy logowaniu: blokada oparta na plikach cookie przestaje działać, jeśli atakujący nie prześle ciasteczek login_count i login_timeout. Daje to nieuwierzytelnionemu atakującemu nieograniczoną liczbę prób logowania.
Jeśli Twój podmiot używa WidzialniCMS, sprawdź wersję. Według CERT Polska te podatności zostały poprawione w wersji 2.5. Dwie podatności związane z przesyłaniem plików nie wymagają uwierzytelnienia, więc pilność rośnie, gdy serwis jest dostępny z internetu. Zgłoszenia pierwszych dwóch podatności pochodzą od Kamila Szczurowskiego i Roberta Kruczka, dwóch pozostałych od Mikołaja Matuszewskiego z zespołu CERT.PL.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- XSS
- Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji.