CVE-2025-7063

Mechanizm sprawdzania uprawnień podczas przesyłania plików jest kontrolowany po stronie klienta, co oznacza, że atakujący może zmodyfikować parametr odpowiedzialny za weryfikację uprawnień i ominąć wszelkie ograniczenia. W efekcie możliwe jest wgranie pliku dowolnego rozszerzenia — w tym wykonywalnych skryptów — bez konieczności posiadania jakiegokolwiek konta w systemie. Po wgraniu takiego pliku atakujący może doprowadzić do jego wykonania po stronie serwera, uzyskując zdalną kontrolę nad systemem (RCE). Problem dotyczy wszystkich trzech szablonów systemu: www, bip oraz ww+bip.

Atakujący bez żadnego uwierzytelnienia może uzyskać pełną zdalną kontrolę nad serwerem (RCE), w tym możliwość wykonywania dowolnych poleceń, przejęcia danych oraz dalszego ruchu w sieci wewnętrznej (lateral movement).

Producent nie opublikuje patchy dla tej podatności z uwagi na status End-Of-Life produktu. Zaleca się natychmiastowe wyłączenie lub odizolowanie instancji PAD CMS od sieci publicznej oraz migrację do aktywnie wspieranego systemu. W ramach doraźnych środków zaradczych należy rozważyć blokadę dostępu do funkcjonalności upload na poziomie firewall lub serwera WWW oraz wdrożenie restrykcyjnej kontroli dostępu do katalogów z plikami wgranymi przez użytkowników.

Widzialni PAD CMS — wszystkie trzy szablony: www, bip oraz ww+bip. Produkt jest oznaczony jako End-Of-Life.

Podatność została opublikowana przez CERT Polska (cert.pl). Produkt jest End-Of-Life — producent oficjalnie potwierdził brak planów wydania poprawki bezpieczeństwa.