CVE-2025-59115

W CMS Windu wykryto podatność na ślepą iniekcję SQL (Blind SQL Injection). Niezautoryzowany atakujący zdalnie może wstrzyknąć składnię SQL do ścieżki URL w nagłówku HTTP. Podatność potwierdzono w wersji 4.1, ale może dotyczyć także innych wersji.

Windu CMS nie weryfikuje typów przesyłanych plików, co pozwala uwierzytelnionemu atakującemu na przesłanie dowolnych plików, w tym PHP. Może to prowadzić do zdalnego wykonania kodu (RCE). Luka potwierdzona w wersji 4.1, ale może dotyczyć innych wersji.

Windu CMS używa algorytmów haszujących opartych na MD5 i SHA1 ze statyczną solą do przechowywania haseł użytkowników. Umożliwia to atakującemu, który uzyska hash hasła, odszyfrowanie danych uwierzytelniających. Podatność potwierdzono w wersji 4.1, ale może dotyczyć także innych wersji.

Windu CMS zawiera wiele podatności typu Stored Cross-Site Scripting (XSS) w punkcie końcowym edycji stron windu/admin/content/pages/edit/. Podatność może być wykorzystana przez uprzywilejowanego użytkownika i może dotyczyć użytkowników z wyższymi uprawnieniami. Potwierdzono podatność w wersji 4.1; problem naprawiono w wersji 4.1 build 2250.

Windu CMS jest podatny na enumerację użytkowników. Problem występuje podczas logowania, gdzie różnica w komunikatach może pozwolić atakującemu na ustalenie, czy login jest prawidłowy, co umożliwia atak brute force z użyciem prawidłowych loginów. Tylko wersja 4.1 została przetestowana i potwierdzona jako podatna. Problem został naprawiony w wersji 4.1 build 2250.

Windu CMS jest podatny na Cross-Site Request Forgery w funkcjonalności przesyłania plików. Złośliwy atakujący może przygotować specjalną stronę internetową, która po odwiedzeniu przez ofiarę automatycznie wyśle złośliwy plik na serwer.

Windu CMS stosuje słabą ochronę przed atakami brute-force po stronie klienta za pomocą parametru loginError; liczba prób i limit czasu nie są przechowywane na serwerze, co pozwala obejść ochronę przez reset parametru. Potwierdzono podatność w wersji 4.1; naprawiono w 4.1 build 2250.

Windu CMS jest podatny na Cross-Site Request Forgery w funkcjonalności edycji użytkowników. Złośliwy atakujący może przygotować specjalną stronę internetową, która po odwiedzeniu przez ofiarę automatycznie wyśle żądanie POST usuwające danego użytkownika.

Windu CMS w wersji 4.1 posiada podatność typu Broken Access Control w funkcjonalności edycji użytkowników. Złośliwy atakujący może wysłać żądanie GET, które pozwala uprzywilejowanym użytkownikom usuwać konta Super Adminów, co nie jest możliwe przez interfejs graficzny. Podatność została naprawiona w wersji 4.1 build 2250.

Windu CMS jest podatny na Cross-Site Request Forgery w funkcjonalności edycji użytkownika. Mechanizm ochrony CSRF można obejść, wykorzystując token CSRF innego użytkownika, a rejestracja jest otwarta, więc każdy może utworzyć konto. Podatność potwierdzono w wersji 4.1 i naprawiono w wersji 4.1 build 2250.