Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

WidzialniCMS: cztery luki, w tym wgrywanie plików bez logowania, poprawione w wersji 2.5

CERT Polska koordynował ujawnienie czterech podatności w WidzialniCMS. Dwie pozwalają bez logowania wgrać plik na serwer i wykonać kod. Poprawka jest w wersji 2.5.

Karta wpisu: WidzialniCMS: cztery luki, w tym wgrywanie plików bez logowania, poprawione w wersji 2.5

CERT Polska koordynował ujawnienie czterech podatności w WidzialniCMS. Dwie z nich pozwalają bez logowania wgrać dowolny plik w dowolne miejsce na serwerze, co może prowadzić do zdalnego wykonania kodu. Wszystkie poprawiono w wersji 2.5. Luki CVE-2026-110468 i CVE-2026-110469 dotyczą endpointów /panel/controllers/save_photo.php oraz /panel/upload.php: uprawnienia są tam sprawdzane po stronie klienta, a ścieżka zapisu nie jest właściwie walidowana. CVE-2026-112204 to reflected XSS w /index.php. Spreparowany adres URL uruchamia kod JavaScript w przeglądarce ofiary i pozwala na przykład ukraść ciasteczko sesji. CVE-2026-112205 pozwala ominąć blokadę prób logowania przez niewysłanie ciasteczek login_count i login_timeout, a to daje nieograniczoną liczbę prób.

Kogo dotyczy

Stron działających na WidzialniCMS w wersjach starszych niż 2.5. Trzy z czterech luk atakujący wykorzystuje bez konta w systemie.

Co zrobić

Zaktualizować WidzialniCMS do wersji 2.5, która zamyka wszystkie cztery podatności.

TAB. 2

Źródła

1
CERT Polska — Podatności w oprogramowaniu WidzialniCMScert.pl
TAB. 3

Powiązane

3
13.11.2026PolskaAutopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatności
11.11.2026PolskaMinisterstwo Cyfryzacji i Microsoft podpisały porozumienie o cyberobronności Polski
11.11.2026PolskaPolska i Microsoft podpisały porozumienie o cyberobronności państwa

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media