CVE-2026-55746
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Cotonti 1.0.0 jest podatny na przechowywany Cross-Site Scripting w module Personal File Storage (PFS). Tytuł folderu (pff_title) jest importowany z filtrem 'TXT', który nie usuwa ani nie koduje HTML (sprawdzanie tagów w cot_import jest wyłączone), więc uwierzytelniony użytkownik może przechowywać HTML/JavaScript w tytule folderu.
Ocena ryzyka
Przechowywany XSS może pozwolić na wykonanie złośliwego skryptu w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Należy dodać kodowanie HTML do tytułów folderów podczas ich wyświetlania oraz włączyć sprawdzanie tagów w cot_import dla pff_title.
Inne podatności w Cotonti
Zobacz wszystkie- CVE-2026-55742Krytyczne
Cotonti 1.0.0 (gałąź master, commit f43f1fc3) jest podatny na Cross-Site Request Forgery w handlerze uprawnień administracyjnych. W system/admin/admin.rights.php, akcja aktualizacji uprawnień ('a=update') modyfikuje prawa dostępu grup (w tym przez cot_auth_add_group) bez wywołania cot_check_xg w celu walidacji tokenu anty-CSRF.
- CVE-2026-55745Średnie
Cotonti 1.0.0 jest podatny na Cross-Site Request Forgery w module Personal File Storage (PFS). W modules/pfs/inc/pfs.editfolder.php, akcja aktualizacji folderu ('a=update') aktualizuje metadane folderu bez wywołania cot_check_xg do walidacji tokena anty-CSRF.
- CVE-2026-55744Wysokie
Cotonti 1.0.0 jest podatny na Cross-Site Request Forgery w module Personal File Storage (PFS). Akcja uploadu plików ('a=upload') przetwarza przesłane pliki bez wywołania cot_check_xg w celu walidacji tokenu anty-CSRF, w przeciwieństwie do innych akcji, takich jak 'delete'.
- CVE-2026-55741Wysokie
Cotonti 1.0.0 jest podatny na Cross-Site Request Forgery w handlerze konfiguracji administracyjnej. Akcja aktualizacji konfiguracji ('a=update') przetwarza dane POST przez cot_config_update_options bez wywołania cot_check_xg do walidacji tokenu anty-CSRF (parametr 'x'), w przeciwieństwie do innych handlerów administracyjnych.
Oryginalny opis (angielski, źródło NVD)
Cotonti 1.0.0 (master branch, commit f43f1fc3) is vulnerable to stored Cross-Site Scripting in the Personal File Storage (PFS) module. A folder title (pff_title) is imported with the 'TXT' filter, which does not strip or encode HTML (the tag check in cot_import is disabled), so an authenticated user can store HTML/JavaScript in a folder title.