CVE-2026-100524

Wtyczka Comments w Cotonti 1.0.0 przekazuje parametr GET ci do funkcji unserialize() bez ograniczenia allowed_classes, co pozwala nieuwierzytelnionym atakującym na tworzenie dowolnych klas PHP z właściwościami kontrolowanymi przez atakującego. Atakujący mogą wykorzystać wstrzyknięcie obiektu PHP przez spreparowane ładunki serializowane do uruchomienia łańcuchów gadżetów i osiągnięcia manipulacji bazą danych lub wykonania kodu.

Cotonti 1.0.0 (gałąź master, commit f43f1fc3) jest podatny na Cross-Site Request Forgery w handlerze uprawnień administracyjnych. W system/admin/admin.rights.php, akcja aktualizacji uprawnień ('a=update') modyfikuje prawa dostępu grup (w tym przez cot_auth_add_group) bez wywołania cot_check_xg w celu walidacji tokenu anty-CSRF.

Cotonti do wersji 1.0.0 zawiera podatność cross-site request forgery w pliku admin.users.php, która pozwala atakującym usuwać grupy użytkowników bez weryfikacji tokena. Atakujący mogą tworzyć złośliwe linki lub strony, które nakłaniają uwierzytelnionych administratorów do usunięcia niestandardowych grup i powiązanych uprawnień poprzez wykorzystanie sesji administratora.

Cotonti do wersji 1.0.0 zawiera podatność na otwarte przekierowanie w pliku message.php, która dekoduje parametr redirect za pomocą base64 bez walidacji domeny. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z zakodowanymi zewnętrznymi adresami URL, aby przekierować użytkowników na dowolne strony za pomocą meta refresh, co może być wykorzystane do ataków phishingowych.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w pliku message.php, gdzie parametr lng nie jest odpowiednio escapowany przed wyjściem w oknie potwierdzenia. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z payloadami skryptów w parametrze lng, aby wykonać dowolny JavaScript w sesji przeglądarki ofiary.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w parametrze highlight wtyczki wyszukiwania, który nie wykonuje żadnego escapowania HTML ani JavaScript. Atakujący mogą tworzyć złośliwe linki z wstrzykniętym JavaScriptem w parametrze highlight, który wykonuje się w przeglądarce każdego odwiedzającego, który otworzy link, w tym administratorów.

Podatność w Cotonti polega na braku walidacji tokenów anty-CSRF w obsłudze formularza kontaktowego, co pozwala atakującym na wysyłanie sfałszowanych wiadomości przypisanych do uwierzytelnionych użytkowników do skrzynki administratora.

Cotonti 1.0.0 przekazuje parametr cb zdekodowany base64 do funkcji unserialize() bez ograniczenia allowed_classes w pluginie komentarzy EditAction. Zarejestrowani użytkownicy z uprawnieniami do pisania komentarzy mogą tworzyć dowolne obiekty PHP i potencjalnie uzyskać zapis plików lub wykonanie kodu poprzez łańcuchy gadżetów.

Podatność w Cotonti polega na braku walidacji miejsc docelowych przekierowań w treściach stron z prefiksem redir:, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub edycji stron na przechowywanie przekierowań do zewnętrznych hostów. Może to być wykorzystane do phishingu.

Podatność w Cotonti polega na braku walidacji tokenów anty-CSRF w handlerze AJAX wtyczki ocen, co pozwala atakującym na fałszowanie ocen w imieniu uwierzytelnionych użytkowników. Złośliwe strony mogą automatycznie wysyłać żądania POST w celu modyfikacji danych ocen.