Kamil Szczurowski

WidzialniCMS is vulnerable to Unrestricted File Upload in the /panel/upload.php endpoint. Due to a client-controlled permission check parameter and insufficient validation of the uploadPath parameter, an unauthenticated attacker can upload arbitrary files to any locations on the server, leading to Remote Code Execution. This issue has been fixed in version 2.5.

WidzialniCMS is vulnerable to Unrestricted File Upload in the /panel/controllers/save photo.php endpoint. Due to a client-controlled permission check parameter and insufficient validation of the currentpath parameter, an unauthenticated attacker can upload arbitrary files to any locations on the server, leading to Remote Code Execution. This issue has been fixed in version 2.5.

Um invasor autenticado pode realizar ataques de Injeção de SQL devido à neutralização inadequada de entradas de usuário enviadas para o endpoint 'pjAdminPolls.controller.php'. Injeção de SQL é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados.

A neutralização inadequada de entradas fornecidas pelo usuário em parâmetros responsáveis por funções de ordenação permite que um invasor não autenticado execute ataques de SQL Injection. SQL Injection é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados.

Um problema de cross-site scripting (XSS) refletido permite que um invasor execute JavaScript arbitrário no navegador do usuário ao induzi-lo a abrir uma URL especialmente criada.

Um problema de Cross-Site Request Forgery (CSRF) existe devido à ausência de tokens CSRF ou atributos SameSite apropriados. Isso permite que um invasor envie solicitações não autorizadas usando a sessão de um usuário autenticado, o que pode resultar em ações administrativas não autorizadas, incluindo a criação de novas contas de administrador. CSRF é uma técnica onde um site malicioso faz com que o navegador do usuário execute uma ação indesejada em um site diferente onde o usuário está autenticado no momento.

Uma injeção de SQL autenticada ocorre devido à neutralização inadequada de entradas fornecidas por um usuário em parâmetros utilizados para funções de ordenação. Isso permite que um invasor autenticado execute comandos SQL arbitrários.

Um problema de Execução Remota de Código existe devido à falta de autenticação em uma função crítica de upload de arquivos. A aplicação expõe um endpoint que permite que atacantes não autenticados façam o upload de arquivos PHP arbitrários fornecendo um payload codificado em base64, permitindo a execução de código arbitrário no servidor subjacente.

A sanitização insuficiente de entrada no Members in Control Panel permite que atacantes interajam com o banco de dados subjacente via Blind SQL Injection. Esta técnica envolve o envio de consultas que o banco de dados responde com um valor booleano (verdadeiro/falso) ou um atraso de tempo, permitindo a extração de informações sensíveis, como credenciais de usuário.

O path traversal permite que atacantes com privilégios para editar templates leiam e escrevam qualquer arquivo no servidor da aplicação ao qual a aplicação tenha permissões de acesso. Isso pode resultar em Remote Code Execution (Execução Remota de Código), que é a capacidade de executar comandos arbitrários na máquina alvo.

O Cross-Site Scripting (XSS) Refletido ocorre quando a aplicação manipula incorretamente a entrada do usuário em certas requisições. Isso permite que atacantes executem JavaScript arbitrário no navegador de uma vítima ao enganá-la para clicar em um link malicioso.

O Cross-Site Scripting (XSS) Armazenado ocorre porque a aplicação não sanitiza adequadamente a entrada do usuário em postagens de usuários e campos de perfil de usuário. Isso permite que atacantes com baixos privilégios injetem JavaScript arbitrário que é executado no navegador da vítima ao visualizar o conteúdo.

A falta de mecanismos de proteção leva a um Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário autenticado para realizar ações não pretendidas.

Um invasor autenticado pode causar a Negação de Serviço (DoS) ao enviar múltiplas requisições simultâneas para visualizar perfis de usuários. Em instâncias com um grande número de usuários registrados, essa ação esgota os recursos do banco de dados, resultando na perda completa do acesso à aplicação para outros usuários.

Um invasor não autenticado pode fazer o upload de arquivos de qualquer tipo e extensão sem restrições através do endpoint 'dialog.php'. Este upload de arquivo irrestrito pode levar à Execução Remota de Código, permitindo que um invasor execute códigos arbitrários no servidor.

Ocorre Escalação de Privilégios devido a privilégios excessivos de banco de dados atribuídos ao usuário da aplicação. Um invasor com acesso a qualquer instância da aplicação em execução conectada ao servidor de backend pode extrair credenciais do banco de dados da memória da aplicação inspecionando o processo em execução. Essas credenciais expostas concedem acesso administrativo ao banco de dados, permitindo ações que excedem os privilégios necessários para a funcionalidade normal da aplicação e aqueles permitidos através da interface da aplicação.

O mpGabinet realiza a autenticação no lado do cliente, que é um processo onde a verificação das credenciais do usuário ocorre no dispositivo do usuário em vez de no servidor. Um invasor com acesso a qualquer instância do aplicativo conectada ao servidor de backend pode ignorar o processo de verificação de login manipulando o binário do aplicativo para se autenticar como um usuário arbitrário.

Some increased actor activities are shown targeting BinSoft mpGabinet (CVE-2026-40552) https://t.co/mUbccZwq7B

A funcionalidade de upload de arquivos no PAD CMS permite que um atacante remoto não autenticado faça upload de arquivos de qualquer tipo e extensão sem restrição. Isso se deve a um parâmetro de verificação de permissão controlado pelo cliente. A exploração bem-sucedida pode levar à Execução Remota de Código. O problema afeta todos os três templates: www, bip e ww+bip. O produto está em fim de vida (End-Of-Life) e o fabricante não publicará correções para esta vulnerabilidade.

A funcionalidade de upload de fotos do software permite que um atacante remoto envie arquivos de qualquer tipo e extensão sem restrição, devido a um parâmetro de verificação de permissão controlado pelo cliente. Isso pode levar à Execução Remota de Código. O problema afeta todos os três templates: `www`, `bip` e `ww+bip`. O produto está em Fim de Vida (EOL) e o fabricante não lançará patches para este problema.