# CERT Polska opisał cztery podatności w WidzialniCMS, poprawka jest w wersji 2.5 CERT Polska uczestniczył w koordynacji ujawnienia czterech podatności w WidzialniCMS Fundacji Widzialni. Dotyczą wszystkich wersji przed 2.5 i obejmują przesyłanie dowolnych plików, XSS oraz ominięcie blokady prób logowania. - Adres: - Rodzaj: Streszczenie - Data publikacji: 09.11.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [CERT Polska](https://cert.pl/posts/2026/11/CVE-2026-110468/) (9 listopada 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) 9 listopada 2026 r. CERT Polska opublikował komunikat o czterech podatnościach w oprogramowaniu WidzialniCMS, którego producentem jest Fundacja Widzialni. Podatne są wszystkie wersje przed 2.5. CERT Polska uczestniczył w koordynacji ujawnienia tych podatności. Dwie z nich dotyczą przesyłania plików i mają ten sam typ (CWE-434). W CVE-2026-110468 problem leży w endpoincie `/panel/controllers/save_photo.php`, w CVE-2026-110469 w endpoincie `/panel/upload.php`. Według komunikatu uprawnienia są sprawdzane parametrem kontrolowanym po stronie klienta, a parametry `currentpath` i `uploadPath` nie są dostatecznie walidowane. Nieuwierzytelniony atakujący może przez to przesyłać dowolne pliki do dowolnych lokalizacji na serwerze, co może prowadzić do zdalnego wykonania kodu. Trzecia podatność, CVE-2026-112204, to Reflected XSS w endpoincie `/index.php`. Atakujący może przygotować adres URL, którego otwarcie wykonuje dowolny kod JavaScript w przeglądarce ofiary, co umożliwia na przykład kradzież ciasteczka sesji. Czwarta, CVE-2026-112205, pozwala ominąć zabezpieczenie przed atakami bruteforce przy logowaniu: blokada oparta na plikach cookie przestaje działać, jeśli atakujący nie prześle ciasteczek `login_count` i `login_timeout`. Daje to nieuwierzytelnionemu atakującemu nieograniczoną liczbę prób logowania. Jeśli Twój podmiot używa WidzialniCMS, sprawdź wersję. Według CERT Polska te podatności zostały poprawione w wersji **2.5**. Dwie podatności związane z przesyłaniem plików nie wymagają uwierzytelnienia, więc pilność rośnie, gdy serwis jest dostępny z internetu. Zgłoszenia pierwszych dwóch podatności pochodzą od Kamila Szczurowskiego i Roberta Kruczka, dwóch pozostałych od Mikołaja Matuszewskiego z zespołu CERT.PL. ## Pojęcia w tym tekście - [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [XSS](https://pelnomocnikcyber.pl/slownik/xss/): Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 9 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.