WidzialniCMS 2.5の更新、認証不要のRCE脆弱性を修正
Summary
CMSのWidzialniCMSに、2.5より前の版ではログインなしでサーバー上のコードを実行されかねない脆弱性2件を含む、計4件の脆弱性があります。該当する版を使う組織は2.5へ更新し、管理パネルへの不審なアクセスの跡も確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
CMSのWidzialniCMSに、2.5より前の版ではログインなしでサーバー上のコードを実行されかねない脆弱性2件を含む、計4件の脆弱性があります。該当する版を使う組織は2.5へ更新し、管理パネルへの不審なアクセスの跡も確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| Fundacja WidzialniWidzialniCMS |
< 2.5→ 2.5 |
2.5 |
Original description The description as published by the source.
WidzialniCMS is vulnerable to Unrestricted File Upload in the /panel/controllers/save_photo.php endpoint. Due to a client-controlled permission check parameter and insufficient validation of the currentpath parameter, an unauthenticated attacker can upload arbitrary files to any locations on the server, leading to Remote Code Execution.
This issue has been fixed in version 2.5.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web github.com