CVE-2026-100521

Wtyczka Comments w Cotonti 1.0.0 przekazuje parametr GET ci do funkcji unserialize() bez ograniczenia allowed_classes, co pozwala nieuwierzytelnionym atakującym na tworzenie dowolnych klas PHP z właściwościami kontrolowanymi przez atakującego. Atakujący mogą wykorzystać wstrzyknięcie obiektu PHP przez spreparowane ładunki serializowane do uruchomienia łańcuchów gadżetów i osiągnięcia manipulacji bazą danych lub wykonania kodu.

Cotonti 1.0.0 (gałąź master, commit f43f1fc3) jest podatny na Cross-Site Request Forgery w handlerze uprawnień administracyjnych. W system/admin/admin.rights.php, akcja aktualizacji uprawnień ('a=update') modyfikuje prawa dostępu grup (w tym przez cot_auth_add_group) bez wywołania cot_check_xg w celu walidacji tokenu anty-CSRF.

Cotonti do wersji 1.0.0 zawiera podatność cross-site request forgery w pliku admin.users.php, która pozwala atakującym usuwać grupy użytkowników bez weryfikacji tokena. Atakujący mogą tworzyć złośliwe linki lub strony, które nakłaniają uwierzytelnionych administratorów do usunięcia niestandardowych grup i powiązanych uprawnień poprzez wykorzystanie sesji administratora.

Cotonti do wersji 1.0.0 zawiera podatność na cross-site request forgery (CSRF) w menedżerze rozszerzeń, która pozwala atakującym na wykonywanie akcji zmieniających stan bez walidacji tokenu anty-CSRF. Atakujący mogą tworzyć linki lub osadzać obrazy, aby zmusić administratorów do instalowania, aktualizowania, wstrzymywania lub wznowienia rozszerzeń, nakłaniając ich do odwiedzenia złośliwej strony podczas zalogowania.

Cotonti do wersji 1.0.0 zawiera podatność na otwarte przekierowanie w pliku message.php, która dekoduje parametr redirect za pomocą base64 bez walidacji domeny. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z zakodowanymi zewnętrznymi adresami URL, aby przekierować użytkowników na dowolne strony za pomocą meta refresh, co może być wykorzystane do ataków phishingowych.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w pliku message.php, gdzie parametr lng nie jest odpowiednio escapowany przed wyjściem w oknie potwierdzenia. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z payloadami skryptów w parametrze lng, aby wykonać dowolny JavaScript w sesji przeglądarki ofiary.

Podatność w Cotonti polega na braku walidacji tokenów anty-CSRF w obsłudze formularza kontaktowego, co pozwala atakującym na wysyłanie sfałszowanych wiadomości przypisanych do uwierzytelnionych użytkowników do skrzynki administratora.

Cotonti 1.0.0 przekazuje parametr cb zdekodowany base64 do funkcji unserialize() bez ograniczenia allowed_classes w pluginie komentarzy EditAction. Zarejestrowani użytkownicy z uprawnieniami do pisania komentarzy mogą tworzyć dowolne obiekty PHP i potencjalnie uzyskać zapis plików lub wykonanie kodu poprzez łańcuchy gadżetów.

Podatność w Cotonti polega na braku walidacji miejsc docelowych przekierowań w treściach stron z prefiksem redir:, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub edycji stron na przechowywanie przekierowań do zewnętrznych hostów. Może to być wykorzystane do phishingu.

Podatność w Cotonti polega na braku walidacji tokenów anty-CSRF w handlerze AJAX wtyczki ocen, co pozwala atakującym na fałszowanie ocen w imieniu uwierzytelnionych użytkowników. Złośliwe strony mogą automatycznie wysyłać żądania POST w celu modyfikacji danych ocen.