CVE-2025-8120

Mechanizm weryfikacji uprawnień w funkcji uploadu zdjęć oparty jest na parametrze kontrolowanym po stronie klienta (client-controlled permission check parameter), co pozwala na jego dowolną modyfikację. Atakujący bez żadnego uwierzytelnienia może wysłać spreparowane żądanie z plikiem wykonalnym (np. webshell) i ominąć wszelkie ograniczenia dotyczące dozwolonych typów oraz rozszerzeń plików. Po wgraniu złośliwy plik może zostać wywołany przez atakującego, co skutkuje wykonaniem kodu na serwerze. Problem dotyczy wszystkich trzech szablonów systemu: www, bip oraz ww+bip.

Atakujący uzyskuje możliwość wykonania dowolnego kodu na serwerze (RCE) bez konieczności posiadania jakichkolwiek uprawnień, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz dalszego lateral movement w infrastrukturze.

Producent nie opublikuje poprawek do tej podatności — produkt osiągnął status End-Of-Life. Należy natychmiast wycofać system PAD CMS z użycia lub odizolować go od sieci publicznej (np. wyłączyć dostęp zewnętrzny, zastosować reguły firewall blokujące dostęp do funkcji uploadu). Zaleca się migrację do aktywnie wspieranego rozwiązania CMS. Dodatkowe referencje: https://cert.pl/posts/2025/09/CVE-2025-7063

Wszystkie wersje Widzialni PAD CMS we wszystkich trzech szablonach: www, bip oraz ww+bip. Produkt jest oznaczony jako End-Of-Life.

Produkt Widzialni PAD CMS jest oznaczony jako End-Of-Life — producent nie wyda łatki bezpieczeństwa. Podatność dotyczy wszystkich wdrożeń systemu niezależnie od szablonu. Organizacje korzystające z PAD CMS powinny traktować ten system jako skompromitowany do czasu jego wycofania lub pełnej izolacji sieciowej.