CVE-2026-112204
ŚrednieCVSS 5.1Streszczenie
WidzialniCMS jest podatny na odbity XSS w punkcie końcowym /index.php. Atakujący może przygotować URL, który po otwarciu powoduje wykonanie dowolnego kodu JavaScript w przeglądarce ofiary, umożliwiając m.in. kradzież ciasteczek sesyjnych. Podatność została naprawiona w wersji 2.5.
Ocena ryzyka
Odbity XSS pozwala atakującemu na wykonanie złośliwego skryptu w kontekście przeglądarki ofiary, co może prowadzić do przejęcia sesji i kradzieży danych uwierzytelniających. Organizacje korzystające z WidzialniCMS są narażone na ataki phishingowe i kompromitację kont administratorów.
Rekomendacja
Zaktualizuj WidzialniCMS do wersji 2.5 lub nowszej. Do czasu aktualizacji rozważ wdrożenie filtrowania danych wejściowych i nagłówków bezpieczeństwa (CSP) w celu ograniczenia ryzyka XSS.
Inne podatności w WidzialniCMS
Zobacz wszystkie- CVE-2026-112205Średnie
WidzialniCMS jest podatny na obejście ochrony przed brute force w funkcji logowania. Blokada oparta na plikach cookie może zostać pominięta poprzez usunięcie plików login_count i login_timeout, co pozwala nieuwierzytelnionemu atakującemu na nieograniczoną liczbę prób logowania. Luka została naprawiona w wersji 2.5.
- CVE-2026-110469Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/upload.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru uploadPath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-110468Krytyczne
WidzialniCMS jest podatny na nieograniczone przesyłanie plików w punkcie końcowym /panel/controllers/save_photo.php. Z powodu parametru sprawdzania uprawnień kontrolowanego przez klienta oraz niewystarczającej walidacji parametru currentpath nieuwierzytelniony atakujący może przesłać dowolne pliki w dowolne miejsca na serwerze, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
WidzialniCMS is vulnerable to Reflected XSS in the /index.php endpoint. An attacker can prepare an URL that, when opened, results in arbitrary JavaScript execution in the victim's browser, allowing e.g session cookie theft. This issue has been fixed in version 2.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS