CVE-2026-58143

WysokieCVSS 8.8

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Cotonti Siena 0.9.26 i wcześniejsze zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), która pozwala nieuwierzytelnionym atakującym na modyfikację konfiguracji administratora poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania POST do modułu aktualizacji konfiguracji w admin.php, który nigdy nie wywołuje funkcji walidacji CSRF aplikacji. Atakujący mogą wyłączyć białą listę rozszerzeń plików modułu PFS, ustawiając pfsfilecheck na 0, co umożliwia każdemu użytkownikowi z dostępem do PFS przesyłanie i wykonywanie dowolnych plików PHP na serwerze.

Ocena ryzyka

Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kontroli nad serwerem poprzez zdalne wykonanie kodu, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub wykorzystania serwera do dalszych ataków.

Rekomendacja

Zaleca się natychmiastową aktualizację Cotonti Siena do najnowszej dostępnej wersji, która usuwa tę podatność, oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny synchronizacyjne, we wszystkich formularzach administracyjnych.

Inne podatności w Cotonti Siena

CVE-2026-58144Średnie
Cotonti Siena 0.9.26 i wcześniejsze zawiera podatność na trwałe ataki XSS, która pozwala uwierzytelnionym użytkownikom z dostępem do PFS na wstrzyknięcie dowolnych skryptów poprzez podanie złośliwego HTML w parametrze ntitle przetwarzanym przez filtr TXT w pliku pfs.main.php. Atakujący może utworzyć folder z spreparowanym tytułem zawierającym znaczniki skryptów, które są przechowywane bez escapowania w bazie danych i wykonują się w przeglądarce każdego użytkownika przeglądającego listę folderów, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

Cotonti Siena 0.9.26 and earlier contains a cross-site request forgery vulnerability that allows unauthenticated attackers to modify administrator configuration by tricking a logged-in administrator into submitting a forged POST request to the admin.php config update handler, which never invokes the application's CSRF validation function. Attackers can disable the PFS module's file extension whitelist by setting pfsfilecheck to 0, enabling any user with PFS access to upload and execute arbitrary PHP files on the server.