CERT Polska wykrył luki w WidzialniCMS

CERT Polska namierzył krytyczne dziury w systemie WidzialniCMS od Fundacji Widzialni. Eksperci pomogli w koordynacji ujawnienia tych błędów. Sprawa jest poważna.

Problem dotyczy wszystkich wydań przed wersją 2.5. Atakujący mogą zdalnie uruchamiać kod, kraść sesje lub po prostu wejść do systemu.

Ryzyko zdalnego wykonania kodu

Wykryto dwie luki: CVE-2026-110468 oraz CVE-2026-110469. Błędy tkwią w endpointach /panel/controllers/save_photo.php i /panel/upload.php. Brak kontroli uprawnień sprawia, że obca osoba wrzuci dowolny plik w dowolne miejsce na serwerze. To otwarta brama.

Podatność na Reflected XSS

Luka CVE-2026-112204 kryje się w /index.php. Wystarczy specjalny adres URL, by w przeglądarce ofiary odpalić kod JavaScript. Efekt? Kradzież ciasteczek sesji.

Ominięcie zabezpieczeń przed bruteforce

CVE-2026-112205 uderza w logowanie. Blokada oparta na plikach cookie nie działa, gdy pominie się parametry login_count oraz login_timeout. Nieuprawniony użytkownik może próbować haseł w nieskończoność.

Wersja 2.5 łata wszystkie te dziury. CERT Polska podziękował Kamilowi Szczurowskiemu, Robertowi Kruczkowi oraz Mikołajowi Matuszewskiemu za zgłoszenie błędów.

Źródło: CERT